Linux下網路分析例解(轉)

Linux下網路分析例解(轉)[@more@]

（轉載自中國計算機報 文：楊鵬　）

Linux作為網路伺服器，特別是作為路由器和閘道器時，資料的採集和分析是必不可少的。所以，今天我們就來看看Linux中強大的網路資料採集分析工具——TcpDump。

顧名思義，TcpDump可以將網路中傳送的資料包的“頭”完全截獲下來提供分析。它支援針對網路層、協議、主機、網路或埠的過濾，並提供and、or、not等邏輯語句來幫助你去掉無用的資訊。

和Linux終端狀態下的其他軟體一樣，TcpDump也是依靠引數來工作，本文將結合例項來說明。

資料過濾

不帶任何引數的TcpDump將搜尋系統中所有的網路介面，並顯示它截獲的所有資料，這些資料對我們不一定全都需要，而且資料太多不利於分析。所以，我們應當先想好需要哪些資料，TcpDump提供以下引數供我們選擇資料：

-b 在資料-鏈路層上選擇協議，包括ip、arp、rarp、ipx都是這一層的。

例如：tcpdump -b arp 將只顯示網路中的arp即地址轉換協議資訊。

-i 選擇過濾的網路介面，如果是作為路由器至少有兩個網路介面，透過這個選項，就可以只過濾指定的介面上透過的資料。例如：

tcpdump -i eth0 只顯示透過eth0介面上的所有報頭。

src、 dst、port、host、net、ether、gateway這幾個選項又分別包含src、dst 、port、host、net、ehost等附加選項。他們用來分辨資料包的來源和去向，src host 192.168.0.1指定源主機IP地址是192.168.0.1，dst net 192.168.0.0/24指定目標是網路192.168.0.0。以此類推，host是與其指定主機相關無論它是源還是目的，net是與其指定網路相關的，ether後面跟的不是IP地址而是實體地址，而gateway則用於閘道器主機。可能有點複雜，看下面例子就知道了：

tcpdump src host 192.168.0.1 and dst net 192.168.0.0/24

過濾的是源主機為192.168.0.1與目的網路為192.168.0.0的報頭。

tcpdump ether src 00:50:04:BA:9B and dst……

過濾源主機實體地址為XXX的報頭（為什麼ether src後面沒有host或者net？實體地址當然不可能有網路嘍）。

Tcpdump src host 192.168.0.1 and dst port not telnet

過濾源主機192.168.0.1和目的埠不是telnet的報頭。

ip icmp arp rarp 和 tcp、udp、icmp這些選項等都要放到第一個引數的位置，用來過濾資料包的型別。例如：

tcpdump ip src……

只過濾資料-鏈路層上的IP報頭。

tcpdump udp and src host 192.168.0.1

只過濾源主機192.168.0.1的所有udp報頭。

資料顯示/輸入輸出

TcpDump提供了足夠的引數來讓我們選擇如何處理得到的資料，如下所示：

-l 可以將資料重定向。

如tcpdump -l ＞tcpcap.txt將得到的資料存入tcpcap.txt檔案中。

-n 不進行IP地址到主機名的轉換。

如果不使用這一項，當系統中存在某一主機的主機名時，TcpDump會把IP地址轉換為主機名顯示，就像這樣：eth0 ＜ ntc9.1165＞ router.domain.net.telnet，使用-n後變成了：eth0 ＜ 192.168.0.9.1165 ＞ 192.168.0.1.telnet。

-nn 不進行埠名稱的轉換。

上面這條資訊使用-nn後就變成了：eth0 ＜ ntc9.1165 ＞ router.domain.net.23。

-N 不列印出預設的域名。

還是這條資訊-N 後就是：eth0 ＜ ntc9.1165 ＞ router.telnet。

-O 不進行匹配程式碼的最佳化。

-t 不列印UNIX時間戳，也就是不顯示時間。

-tt 列印原始的、未格式化過的時間。

-v 詳細的輸出，也就比普通的多了個TTL和服務型別。

好了，說了這麼多，是不是覺得TcpDump這個工具很好？它還有好多功能限於篇幅不能一一介紹，多讀一讀“幫助”都會有很大的收穫，這也算是進入Linux世界的一條捷徑