问题[packet-capture](server)

我正在尝试在我的 linux 机器上创建一些捕获。我遇到的问题是，我从环回接口获取的任何捕获都将包含比 MTU 大得多的大量数据包。这似乎是因为 TCP分段卸载。我尝试遵循此答案中的建议并将以下内容放在 /etc/network/interfaces 中：

auto lo
iface lo intet loopback
   mtu 1518
   offload-tx off
   offload-rx off
   offload-sg off
   offload-tso off
   offload-rxvlan off
   offload-txvlan off

但我仍然收到比我捕获的 MTU 大得多的大量数据包。有没有什么办法解决这一问题？

编辑：实际上存在 2 个问题，运行 RTOS 的设备上的 TCP 实现有问题，以及当超过 1 个内核处于活动状态时导致 Linux 网络堆栈无序接收 TCP 片段的问题。

我有一个在 IP 192.168.2.250 上运行一些嵌入式 RTOS 的发送器和一个在 IP 192.168.2.1 上运行 Linux 4.9.x 的接收器

接收器配置为无线接入点，发送器通过 WiFi 直接连接到接收器。

在 TCP 数据传输期间，我在接收端做了一个 tcpdump，我注意到接收器发送了很多重复的 ACK，而没有发生实际的数据包丢失（或者至少我是这么认为的，因为我没有看到重传和ACK 最终会跟随发送的序列号）。

有人知道可能导致接收器行为的原因吗？

编辑：您没有看到来自发件人的快速重传，因为我将它们关闭以证明流没有丢失数据（这样做会使吞吐量大大提高）。一种解释是 tcp 堆栈看到的数据包乱序。我可以让 Linux 更能容忍乱序数据包吗？就像不立即发送重复确认一样。

的输出sysctl net | grep tcp

net.ipv4.tcp_abort_on_overflow=0
net.ipv4.tcp_adv_win_scale=1
net.ipv4.tcp_allowed_congestion_control=cubic reno
net.ipv4.tcp_app_win=31
net.ipv4.tcp_autocorking=1
net.ipv4.tcp_available_congestion_control=cubic reno
net.ipv4.tcp_base_mss=1024
net.ipv4.tcp_challenge_ack_limit=1000
net.ipv4.tcp_congestion_control=cubic
net.ipv4.tcp_delack_seg=1
net.ipv4.tcp_dsack=1
net.ipv4.tcp_early_retrans=3
net.ipv4.tcp_ecn=2
net.ipv4.tcp_ecn_fallback=1
net.ipv4.tcp_fack=1
net.ipv4.tcp_fastopen=1
net.ipv4.tcp_fin_timeout=60
net.ipv4.tcp_frto=2
net.ipv4.tcp_fwmark_accept=0
net.ipv4.tcp_invalid_ratelimit=500
net.ipv4.tcp_keepalive_intvl=75
net.ipv4.tcp_keepalive_probes=9
net.ipv4.tcp_keepalive_time=7200
net.ipv4.tcp_limit_output_bytes=262144
net.ipv4.tcp_low_latency=0
net.ipv4.tcp_max_orphans=16384
net.ipv4.tcp_max_reordering=300
net.ipv4.tcp_max_syn_backlog=128
net.ipv4.tcp_max_tw_buckets=16384
net.ipv4.tcp_mem=332494433366498
net.ipv4.tcp_min_rtt_wlen=300
net.ipv4.tcp_min_tso_segs=2
net.ipv4.tcp_moderate_rcvbuf=1
net.ipv4.tcp_mtu_probing=0
net.ipv4.tcp_no_metrics_save=0
net.ipv4.tcp_notsent_lowat=4294967295
net.ipv4.tcp_orphan_retries=0
net.ipv4.tcp_pacing_ca_ratio=120
net.ipv4.tcp_pacing_ss_ratio=200
net.ipv4.tcp_probe_interval=600
net.ipv4.tcp_probe_threshold=8
net.ipv4.tcp_recovery=1
net.ipv4.tcp_reordering=3
net.ipv4.tcp_retrans_collapse=1
net.ipv4.tcp_retries1=3
net.ipv4.tcp_retries2=15
net.ipv4.tcp_rfc1337=0
net.ipv4.tcp_rmem=4096873806291456
net.ipv4.tcp_sack=1
net.ipv4.tcp_slow_start_after_idle=1
net.ipv4.tcp_stdurg=0
net.ipv4.tcp_syn_retries=6
net.ipv4.tcp_synack_retries=5
net.ipv4.tcp_syncookies=1
net.ipv4.tcp_thin_dupack=0
net.ipv4.tcp_thin_linear_timeouts=0
net.ipv4.tcp_timestamps=0
net.ipv4.tcp_tso_win_divisor=3
net.ipv4.tcp_tw_recycle=0
net.ipv4.tcp_tw_reuse=0
net.ipv4.tcp_use_userconfig=0
net.ipv4.tcp_window_scaling=1
net.ipv4.tcp_wmem=4096163844194304
net.ipv4.tcp_workaround_signed_windows=0

我有一个 Linux 服务器，它是在 ESXi 6.7 上运行的虚拟机。我们遇到了一些网络问题，我正在尝试使用 tcpdump 来捕获 VM 本身的流量，但我只得到服务器生成的流量，而不是入站流量。

我在网上查看了解决方案，其中很多都是关于直接在 ESX 主机本身的虚拟交换机上运行捕获。（在某些时候我可能仍然需要这样做）

这似乎应该是一个相当直接的过程。如何在 Linux VM 中配置接口以允许完整（混杂）数据包捕获？更改全部在 VM 本身（在 Linux 中），还是我还需要更改 VM 的 VMWare 配置？

谢谢大家！

我正在尝试完全按照本参考资料中的说明设置消息分析器查看器，但是在 ProcessName 和 ProcessID 列中，我得到了一些奇怪的数字，而不是稳定的进程名称。

我使用标准无线场景

并关注 ETW 提供商

抓拍得到的netsh trace start scenario=wlan capture=yes景色相同

如何在这里获取进程名称？

我想从 fortiet/fortigate 设备获取数据包捕获，以在其接口之一上捕获来自它的所有流量。为此，我启用了 sflow 并将其发送到另一个 ntopng 服务器。但是在 ntopng 上，我可以看到 sflow 数据，但是有什么方法可以将这些数据转换/转储为 pcap 格式？因为我需要 pcap 中的数据来分析它。

我可以将数据导出到 json，但是我们可以将 sflow 转换为 pcap 吗？

由于 SS7 协议栈用于 GSM 移动电话网络，我们无法在 Windows 计算机中使用 Wireshark 并在 Google chrome 等网络浏览器中浏览时获取 SS7 协议的数据包。

那么如何在 Wireshark 中获取具有 SS7 协议的数据包呢？甚至可能吗？

我的意思是我应该执行什么样的活动（哪个 Wireshark 正在运行并捕获数据包），这将导致使用 SS7 协议的数据包（由 Wireshark 捕获）？

有没有人可以总结wireshark中的数据包着色系统？我的捕获列表看起来很丰富多彩，但我不太明白着色方案是如何工作的。谢谢

使用 TShark，我希望能够从 .pcap 文件中通过 tshark 捕获的数据包数据中提取 HTTP 响应中的有效负载。

在 Wireshark GUI 中，我能够做到这一点File > Extract Objects > HTTP，然后从 HTTP 对象对话框（显示所有 HTTP 对象的列表）中选择一个文件，并将其保存在我的磁盘上。此处描述了此过程。

问题是我如何在 Tshark 中做到这一点？

使用 HAProxy 1.6 和一个聪明的 hack，我现在有一个 HAProxy tcp 模式前端，它检测浏览器是否支持 SNI，并基于此路由到强加密 SSL 终止后端，或者更弱的后端。这确保了 SSL 实验室的 A+ 评级，同时仍然允许除 IE6 之外的所有浏览器使用 SSL。

这是我的配置。它有一些模板变量应该是不言自明的，但与我的问题无关：

frontend https_incoming
 bind 0.0.0.0:443
 mode tcp
 option tcplog
 tcp-request inspect-delay 5s
 tcp-request content accept if { req.ssl_hello_type 1 }
 use_backend https_strong if { req.ssl_sni -m end .transloadit.com }
 default_backend https_weak

backend https_strong
 mode tcp
 option tcplog
 server https_strong 127.0.0.1:1665

frontend https_strong
 bind 127.0.0.1:1665 ssl crt ${DM_ROOT_DIR}/envs/ssl/haproxy-dh2048.pem no-sslv3 no-tls-tickets ciphers ${strongCiphers}
 mode http
 option httplog
 option httpclose
 option forwardfor if-none except 127.0.0.1
 http-response add-header Strict-Transport-Security max-age=31536000
 reqadd X-Forwarded-Proto:\ https
 reqadd FRONT_END_HTTPS:\ on
 use_backend http_incoming

backend https_weak
 mode tcp
 option tcplog
 server https_weak 127.0.0.1:1667

frontend https_weak
 bind 127.0.0.1:1667 ssl crt ${DM_ROOT_DIR}/envs/ssl/haproxy.pem no-sslv3 ciphers ${weakCiphers}
 mode http
 option httplog
 option httpclose
 option forwardfor if-none except 127.0.0.1
 http-response add-header Strict-Transport-Security max-age=31536000
 reqadd X-Forwarded-Proto:\ https
 reqadd FRONT_END_HTTPS:\ on
 use_backend http_incoming

问题：https_incoming前端知道客户端IP，但是由于它在mode tcp，它不能把这个信息保存在一个mode http X-Forwarded-Forheader中。option forwardfor在 TCP 模式下无效。

从另一个关于 serverfault 的问题 我已经发现我可以使用：

• LVS
• 代理协议

因此，据X-Forwarded-For我了解，在 LVS 的情况下，甚至不再需要标头：数据包被欺骗，因此源成为客户端 IP，而在代理的情况下：数据包被封装以携带客户端 IP。

这两个似乎都可以工作。然而，LVS 对我们来说似乎是一场可能有副作用的心脏手术，而 PROXY 的缺点是代理/应用程序上游/下游可能还不完全兼容。

我真的希望有更轻量级的东西，就在那时我发现了HAProxy 1.6 的新“捕获”功能，因为它提到：

您可以声明捕获槽，在其中存储数据并在会话期间随时使用它。

它继续显示以下示例：

defaults 
 mode http

frontend f_myapp
 bind :9001
 declare capture request len 32 # id=0 to store Host header
 declare capture request len 64 # id=1 to store User-Agent header
 http-request capture req.hdr(Host) id 0
 http-request capture req.hdr(User-Agent) id 1
 default_backend b_myapp

backend b_myapp
 http-response set-header Your-Host %[capture.req.hdr(0)]
 http-response set-header Your-User-Agent %[capture.req.hdr(1)]
 server s1 10.0.0.3:4444 check

在我看来，信息存储在前端，然后在后端使用，所以也许我可以在 TCP 模式下获取客户端 IP，保存它，然后在以后使用它，可能像这样：

http-response set-header X-Forwarded-For %[capture.req.hdr(0)]

我查看了捕获文档，似乎捕获更面向 http 模式标头，但后来我还看到一个邮件列表对话成功地演示了tcp-request capture.

我尝试了几件事，其中：

tcp-request capture req.hdr(RemoteAddr) id 0
# or
tcp-request content capture req.hdr(RemoteHost) id 0

但是正如您所看到的，我不知道语法应该是什么以及在哪个键下可以使用此信息，我也无法在（我认为）相关文档中找到它。

X-Forwarded-For问题：是否可以在 TCP 模式下捕获客户端 IP，然后再以 HTTP 模式将此信息写入标头？如果是这样，这将是什么语法？

我正在使用 Packet Tracer atm 并有 3 个子网计划：

• 分配（管理（104 个用户）
• 员工（43 位用户）
• 管理员（35 个用户））。

我的 IP 地址范围为：38.191.0.0，子网掩码为 255.255.255.0。我想生成该子网计划，但最有效地使用上面提供的 IP 地址范围。

谁能给我一个关于如何将该范围转换为最有效地使用 IP 地址的简要想法？我必须在每台交换机上使用无线路由器方法实现 VLAN，路由器接口的 IP 分配范围为 10.0.0.0 – 10.0.255.255。我现在有点卡住了。

该图如下所示：