Início / server / Perguntas / 972351
Accepted
tudor -Reinstate Monica-
Asked: 2019-06-21 23:42:55 +0800 CST

filtro tcpdump por/imprimir último salto

  • 772

Se eu tenho uma rede que se parece com isso:

           56.56.56.56 192.168.0.1/24
                  ___________     
               ---| Modem 1 |-----
               |  ___________    |        ___________
11.22.33.44 ---|                 |--------| Machine |
               |  ___________    |        ___________
               ---| Modem 2 |-----        192.168.0.3/24
                  ___________     
           67.67.67.67 192.168.0.2/24

...onde o modem 1 e o modem 2 encaminham a porta ssh para 192.168.0.3.

Quando chamo tcpdump port ssha máquina em 192.168.0.3 e, em seguida, ssh de 11.22.33.44 a 56.56.56.56, a saída se parece com isso:

listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
16:51:16.147870 IP 11.22.33.44.55936 > 192.168.0.3.ssh: Flags [S], seq 642687408, win 14600, options [mss 1460,sackOK,TS val 1631250991 ecr 0,nop,wscale 7], length 0
16:51:16.147957 IP 192.168.0.3.ssh > 11.22.33.44.55936: Flags [S.], seq 55101726, ack 642687409, win 28960, options [mss 1460,sackOK,TS val 1829635753 ecr 1631250991,nop,wscale 7], length 0
16:51:17.147444 IP 11.22.33.44.55936 > 192.168.0.3.ssh: Flags [S], seq 642687408, win 14600, options [mss 1460,sackOK,TS val 1631251992 ecr 0,nop,wscale 7], length 0

Como você pode ver, tcpdumpaparece apenas para me dar o ip de origem como ip "origem" e o ip "final" como destino.

Qual comando é necessário dizer tcpdumppara imprimir ou filtrar por:

  1. o último salto (por exemplo, 192.168.0.1 ou 192.168.0.2 no diagrama)
  2. o ip "público" (por exemplo, 56.56.56.56 ou 67.67.67.67 no diagrama)
  3. o próximo salto (por exemplo, o modem usado para pacotes saindo em vez de entrar)
networking

2 respostas

  1. O Tcpdump captura apenas pacotes e não possui informações adicionais sobre rotas/endereço original externo/etc.

    1. Não há endereço IP explícito do último salto em um pacote, mas você pode usar o endereço de origem ethernet para determiná-lo indiretamente. Você precisa usar -ea opção de linha de comando adicional tcpdumppara mostrar o cabeçalho ethernet dos quadros.
    2. É impossível mostrar o ip público original em que o pacote chegou, pois esta informação está faltando no pacote e armazenada apenas na tabela de tradução em suas caixas de modem.
    3. Também é impossível. O Tcpdump não procura as rotas dos pacotes originais e, obviamente, não procura as rotas dos pacotes respondidos.
    • 2
  2. Best Answer

    De acordo com as expressões tcpdump cuja sintaxe é BPF:

    tcpdump éter host 11:22:33:44:55:66

    despeja todos os pacotes para ou daquele endereço MAC

    Isso responde (1) e (3).

    No que diz respeito a (2), o IP de origem muda após o NAT, então você teria que ter uma máquina fora do NAT para testemunhar esse IP.

    • 0

relate perguntas