主页 / server / 问题 / 1042158
Accepted
Younes
Asked: 2020-11-12 06:06:37 +0800 CST

为什么回显请求不显示在 tcpdump 中？

  • 772

我有两个使用 IPSEC-VPN 隧道连接的网段：

  • NET#1：带有 LAN 网关 ab0.1 的 ab0.0/16
  • NET#2：带有 LAN 网关 xy130.1 的 xy0.0/16

我启动从 ab0.1 到 xy130.100 的 ping 并启动 tcpdump。这稍后会显示回显回复数据包，但不会显示回显请求数据包。

正常吗？我怎样才能得到回声请求数据包呢？

这是一个示例测试会话：

平：

# ping x.y.130.100
PING x.y.130.100 56(84) bytes of data.
64 bytes from x.y.130.100: icmp_seq=1 ttl=63 time=1.87 ms
64 bytes from x.y.130.100: icmp_seq=2 ttl=63 time=1.38 ms
64 bytes from x.y.130.100: icmp_seq=3 ttl=63 time=1.27 ms
64 bytes from x.y.130.100: icmp_seq=4 ttl=63 time=3.93 ms
64 bytes from x.y.130.100: icmp_seq=5 ttl=63 time=1.15 ms
64 bytes from x.y.130.100: icmp_seq=6 ttl=63 time=1.16 ms

TCPDUMP：

# tcpdump -nn 'icmp and (src a.b.0.1 or dst a.b.0.1)'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
13:54:27.607103 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 1, length 64
13:54:28.608433 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 2, length 64
13:54:29.610167 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 3, length 64
13:54:30.614716 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 4, length 64
13:54:31.613417 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 5, length 64
13:54:32.615054 IP x.y.130.100 > a.b.0.1: ICMP echo reply, id 22607, seq 6, length 64
ping tcpdump

2 个回答

  1. Best Answer

    这个答案假设 Linux 作为操作系统。

    tcpdump无法将输出捕获为明文：在tcpdump有机会看到它之前它已经被加密，并且它的icmp过滤器将不匹配。到达加密的输入作为明文有效负载循环回：tcpdump捕获两者，但其icmp过滤器将匹配第二个段落。

    Netfilter 和 General Networking 中的数据包流提供了有关此的线索（您必须单击以获取详细信息）：

    Netfilter 和通用网络中的数据包流

    在右侧（输出）：

    • 明文数据包到达xfrm 查找并通过xfrm 编码作为加密有效负载环回

    • tcpdump稍后在 AF_PACKET 捕获最终结果。这与 ICMP 不匹配，过滤器不会显示任何内容

    在左侧（输入）：

    • 加密的有效负载到达并由tcpdump在 AF_PACKET 捕获：这与 ICMP 不匹配，不会显示
    • 数据包到达 xfrm/socket 查找并通过xfrm decode进行解码
    • 现在解码的明文payload是专门通过AF_PACKET发送的：这次tcpdump会看到一个ICMP包
    • 明文有效载荷遵循现在通常的路由

    实际上，在某些情况下（当启用 IPSec 压缩并且数据包是短数据包时）可能存在另一个循环，其中中间内部数据包作为ipip协议。

    如果您想获得传出流量，这里有一些建议：

    • 您必须添加类似or esp的内容，但是当然不会解码，除非-E设置了适当的秘密选择（我对此并不多）。我不知道tcpdump是否也可以通过这种方式解码 NAT-T ( udp port 4500)。
    • 使用iptables或nftables将数据包复制到虚拟接口。tcpdump可以改为在此接口上捕获。
    • 使用iptables或nftables将整个数据包记录到nflog工具。tcpdump可以改为在此伪接口上捕获。
    • 15

  2. 回复是否有可能通过与您运行 tcpdump 的接口 (eth0) 不同的接口（可能是用于 IPSec 的接口？）发出？

    • 2

相关问题