歡迎來到Linux教程網
Linux教程網
Linux教程網
Linux教程網
您现在的位置: Linux教程網 >> UnixLinux >  >> Linux綜合 >> Linux資訊 >> 更多Linux

Linux系統下網絡分析工具

Linux作為網絡服務器,特別是作為路由器和網關時,數據的采集和分析是必不可少的。所以,今天我們就來看看Linux中強大的網絡數據采集分析工具——TcpDump。

顧名思義,TcpDump可以將網絡中傳送的數據包的“頭”完全截獲下來提供分析。它支持針對網絡層、協議、主機、網絡或端口的過濾,並提供and、or、not等邏輯語句來幫助你去掉無用的信息。

和Linux終端狀態下的其他軟件一樣,TcpDump也是依靠參數來工作,本文將結合實例來說明。

數據過濾

不帶任何參數的TcpDump將搜索系統中所有的網絡接口,並顯示它截獲的所有數據,這些數據對我們不一定全都需要,而且數據太多不利於分析。所以,我們應當先想好需要哪些數據,TcpDump提供以下參數供我們選擇數據:

-b在數據-鏈路層上選擇協議,包括ip、arp、rarp、ipx都是這一層的。

例如:tcpdump -b arp將只顯示網絡中的arp即地址轉換協議信息。

-i選擇過濾的網絡接口,如果是作為路由器至少有兩個網絡接口,通過這個選項,就可以只過濾指定的接口上通過的數據。例如:

tcpdump -i eth0只顯示通過eth0接口上的所有報頭。

src、dst、port、host、net、ether、gateway這幾個選項又分別包含src、dst、port、host、net、 ehost等附加選項。他們用來分辨數據包的來源和去向,src host 192.168.0.1指定源主機IP地址是192.168.0.1,dst net 192.168.0.0/24指定目標是網絡192.168.0.0。以此類推,host是與其指定主機相關無論它是源還是目的,net是與其指定網絡相關的,ether後面跟的不是IP地址而是物理地址,而gateway則用於網關主機。可能有點復雜,看下面例子就知道了:

tcpdump src host 192.168.0.1 and dst net 192.168.0.0/24

過濾的是源主機為192.168.0.1與目的網絡為192.168.0.0的報頭。

tcpdump ether src 00:50:04:BA:9B and dst……

過濾源主機物理地址為XXX的報頭(為什麼ether src後面沒有host或者net?物理地址當然不可能有網絡喽)。

Tcpdump src host 192.168.0.1 and dst port not telnet

過濾源主機192.168.0.1和目的端口不是telnet的報頭。

ip icmp arp rarp和tcp、udp、icmp這些選項等都要放到第一個參數的位置,用來過濾數據報的類型。例如:

tcpdump ip src……

只過濾數據-鏈路層上的IP報頭。

tcpdump udp and src host 192.168.0.1

只過濾源主機192.168.0.1的所有udp報頭。

數據顯示/輸入輸出

TcpDump提供了足夠的參數來讓我們選擇如何處理得到的數據,如下所示:

-l可以將數據重定向。

如tcpdump -l>tcpcap.txt將得到的數據存入tcpcap.txt文件中。

-n不進行IP地址到主機名的轉換。

如果不使用這一項,當系統中存在某一主機的主機名時,TcpDump會把IP地址轉換為主機名顯示,就像這樣:eth0<ntc9.1165> router.domain.net.telnet,使用-n後變成了:eth0<192.168.0.9.1165> 192.168.0.1.telnet。

-nn不進行端口名稱的轉換。

上面這條信息使用-nn後就變成了:eth0<ntc9.1165>router.domain.net.23。

-N不打印出默認的域名。

還是這條信息-N後就是:eth0<ntc9.1165>router.telnet。

-O不進行匹配代碼的優化。

-t不打印UNIX時間戳,也就是不顯示時間。

-tt打印原始的、未格式化過的時間。

-v詳細的輸出,也就比普通的多了個TTL和服務類型。

好了,說了這麼多,是不是覺得TcpDump這個工具很好?它還有好多功能限於篇幅不能一一介紹,多讀一讀“幫助”都會有很大的收獲,這也算是進入Linux世界的一條捷徑吧。




Copyright © Linux教程網 All Rights Reserved