آشنایی با Tcpdump

اگر سرور را راه اندازی کنید ، بدون شک به جایی خواهید رسید که باید مشکلات مربوط به شبکه را ناخوشایند کنید. مطمئناً فقط شلیک نامه به بخش پشتیبانی آسان است ، اما بعضی اوقات باید کثیف شوید. در این حالت tcpdumpابزاری برای آن کار است. Tcpdump یک آنالایزر پکیج شبکه است که در زیر خط فرمان اجرا می شود.

این مقاله به سه بخش تقسیم می شود:

• ویژگی های اساسی.
• فیلتر بر اساس ویژگی های خاص ترافیکی.
• قطعه ای کوتاه از ویژگی های پیشرفته تر (مانند عبارات منطقی ، فیلتر توسط پرچم های TCP).

از آنجا که tcpdump در اکثر سیستم های پایه گنجانده نشده است ، شما نیاز به نصب آن دارید. با این حال ، تقریباً همه توزیعهای لینوکس در مخازن اصلی خود دارای tcpdump هستند. برای توزیع های مبتنی بر Debian ، دستور نصب tcpdump عبارت است از:

apt-get install tcpdump

برای CentOS / RedHat از دستور زیر استفاده کنید:

yum install tcpdump

FreeBSD بسته ای از پیش ساخته را ارائه می دهد که با صدور زیر قابل نصب است:

pkg install tcpdump

همچنین یک درگاه در دسترس است net/tcpdumpکه می تواند از طریق:

cd /usr/ports/net/tcpdump
make install clean

اگر tcpdumpبدون هیچگونه استدلالی اجرا شوید ، از نتیجه بدست می آیید. اجرای آن روی یک نمونه تازه چرخش شده در اینجا در Vultr برای کمتر از پنج ثانیه نتیجه زیر را می دهد:

2661 packets captured
2663 packets received by filter
0 packets dropped by kernel

قبل از جزییات بیشتر در مورد نحوه فیلتر کردن ورودی ، باید نگاهی به پارامترهای قابل انتقال به tcpdump بیندازید:

• -i- رابط مورد نظر برای گوش دادن را مشخص می کند ، به عنوان مثال tcpdump -i eth0:.
• -n- سعی نکنید به جستجوی معکوس در آدرس های IP tcpdump -nبپردازید ، به عنوان مثال: (اگر ntcpdump دیگری اضافه کنید ، شماره پورت را به جای نام نشان می دهد).
• -X- محتوای بسته های جمع آوری شده را نشان دهید tcpdump -X:.
• -c- فقط xبسته ها را ضبط کنید ، به xعنوان یک تعداد دلخواه ، به عنوان مثال tcpdump -c 10دقیقاً 10 بسته را ضبط می کند.
• -v- مقدار بسته اطلاعاتی را که نشان داده می شود ، افزایش دهید ، بیشتر vباعث سیر و لعاب بیشتر می شوند.

هر یک از پارامترهای ذکر شده در اینجا می توانند با هم ترکیب شوند. اگر می خواستید 100 بسته را ضبط کنید ، اما فقط در رابط VPN شما tun0 ، پس دستور tcpdump به شکل زیر ظاهر می شود:

tcpdump -i tun0 -c 100 -X

علاوه بر این تعداد معدود ، ده ها (اگر نه صدها) گزینه وجود دارد ، اما رایج ترین آنها هستند. احساس رایگان کنید که manction tcpdump را در سیستم خود بخوانید.

اکنون که درک اساسی از tcpdump دارید ، وقت آن است که به یکی از جالب ترین ویژگی های tcpdump نگاه کنید: عبارت. عبارات باعث می شود زندگی شما بسیار ساده تر شود. آنها همچنین به عنوان فیلترهای بسته بندی BPF یا Berkeley Packet شناخته می شوند. استفاده از عبارات به شما امکان می دهد بسته های مختلف را بر اساس ویژگی های خاص - مانند مبدا ، مقصد ، اندازه یا حتی شماره دنباله TCP - به صورت انتخابی نمایش دهید (یا نادیده بگیرید).

تاکنون موفق شده اید که جستجوی خود را به مقدار مشخصی از بسته ها در یک رابط خاص محدود کنید ، اما بیایید صادقانه بگویم: این هنوز صدای پس زمینه زیادی را برای کارآمد با داده های جمع آوری شده باقی می گذارد. در اینجاست که عبارات بازی می شوند. این مفهوم بسیار ساده است ، بنابراین ما تئوری خشک را در اینجا کنار می گذاریم و با برخی مثال های عملی از درک پشتیبانی خواهیم کرد.

عباراتی که احتمالاً بیشترین استفاده را خواهید کرد عبارتند از:

• host - به دنبال ترافیک بر اساس نام های میزبان یا آدرس های IP باشید.
• srcیا dst- به دنبال ترافیک از یا به هاست خاص باشید.
• proto- به دنبال ترافیک یک پروتکل خاص باشید. برای tcp ، udp ، icmp و دیگران کار می کند. ترک کردن protoکلمه کلیدی نیز ممکن است.
• net - به دنبال مراجعه به / از طیف خاصی از آدرسهای IP باشید.
• port - به دنبال ترافیک به / از یک درگاه مشخص باشید.
• greaterیا less- به دنبال ترافیکی بزرگتر یا کوچکتر از مقدار مشخصی از بایت باشید.

در حالی که manpage tcpdumpفقط شامل چند نمونه است ، manpage pcap-filterتوضیحات بسیار مفصلی درباره نحوه کار و استفاده از هر فیلتر دارد.

اگر می خواهید ببینید ارتباط شما با یک سرور خاص چگونه انجام می شود ، می توانید hostبه عنوان مثال از کلمه کلیدی استفاده کنید (شامل برخی از پارامترهای از بالا):

tcpdump -i eth0 host vultr.com

بعضی اوقات رایانه هایی در شبکه وجود دارند که MTU را رعایت نمی کنند یا با بسته های بزرگ شما را اسپم می کنند. فیلتر کردن بعضی اوقات ممکن است دشوار باشد. عبارات به شما امکان می دهد بسته های بزرگتر یا کوچکتر از تعداد مشخصی از بایت ها را فیلتر کنید:

tcpdump -i eth0 -nn greater 128
or
tcpdump -i eth0 -nn less 32

شاید فقط یک بندر خاص مورد توجه شما باشد. در این حالت از portعبارت استفاده کنید :

tcpdump -i eth0 -X port 21

همچنین می توانید از محدوده بندر استفاده کنید:

tcdump -i eth0 -X portrange 22-25

از آنجا که دروازه های NAT بسیار معمول هستند ، شما فقط می توانید به دنبال پورت های مقصد باشید:

tcpdump dst port 80

اگر ترافیک وب سرور خود را مشاهده می کنید ، فقط ممکن است بخواهید به ترافیک TCP به پورت 80 نگاه کنید:

tcpdump tcp and dst port 80

احتمالاً از خود می پرسید که این کلمه کلیدی andدر آنجا انجام می شود. سؤال خوبی بود. این ما را به قسمت آخر این مقاله می رساند.

tcpdump به طور خاص پشتیبانی بیشتری برای عبارات منطقی ارائه می دهد:

• and/ &&- منطقی "و".
• or/ ||- منطقی "یا".
• not/ !- منطقی "نه".

بهمراه امکان گروه بندی اصطلاحات در کنار هم ، این امر به شما امکان می دهد جستجوهای بسیار قدرتمندی برای ترافیک ورودی و خروجی ایجاد کنید. بنابراین اجازه دهید ترافیکی که از vultr.com در پورت 22 یا 443 دریافت می شود را فیلتر کنیم:

tcpdump -i eth0 src host vultr.com and (dst port 22 or 443)

اجرای این کار در خط فرمان خطای زیر را به شما می دهد:

bash: syntax error near unexpected token `('

دلیلش این است که یک احتیاط وجود دارد: bashسعی می کند هر شخصیتی را که می تواند ارزیابی کند. این شامل شخصیت ها (و )شخصیت ها می شود. برای جلوگیری از این خطا ، باید از نقل قولهای واحدی پیرامون عبارت ترکیبی استفاده کنید:

tcpdump -i eth0 'src host vultr.com and (dst port 22 or 443)'

مثال مفید دیگر: هنگام اشکال زدایی در مورد مشکلات SSH با یکی از کاربران خود ، ممکن است بخواهید همه موارد مرتبط با جلسه SSH خود را نادیده بگیرید:

tcpdump '!(host $youripaddress) && port 22)'

مجدداً موارد استفاده بی پایان است و می توانید نوع ترافیکی را که می خواهید ببینید در اعماق شدید مشخص کنید. دستور زیر فقط بسته های SYNACK دستی TCP را نشان می دهد:

tcpdump -i eth0 'tcp[13]=18'

این کار با نگاه کردن به سیزدهمین افست هدر TCP و هجدهمین بایت درون آن کار می کند.

اگر آن را تا اینجا ساخته اید ، برای اکثر موارد استفاده که آماده می شوند ، آماده هستید. من به سختی می توانم سطح را لمس کنم بدون اینکه به جزئیات خیلی زیادی برسم. من بسیار توصیه می کنم کمی بیشتر با گزینه ها و اصطلاحات مختلف آزمایش کنید. و طبق معمول: هنگام گم شدن به صفحه اصلی مراجعه کنید.

تاریخ و زمان آخرین اما نه چندان مهم - نگاهی گذرا به عقب. شروع این مقاله را به خاطر دارید؟ با هزاران بسته دستگیر شده در عرض چند ثانیه؟ قدرت tcpdumpمی تواند آن را کم کند:

tcpdump -i eth0 tcp port 22

نتیجه اکنون است:

81 packets captured
114 packets received by filter
0 packets dropped by kerne

اشکال زدایی بسیار راحت تر و آسان تر است. شبکه سازی مبارک!