Linux常用網絡命令整理

Linux常用網絡命令整理   Linux上有一些非常常用的命令，來幫助我們監控網絡狀況。   1.Tcpdump命令   tcpdump可以將網絡中傳送的數據包的“頭”完全截獲下來提供分析。它支持針對網絡層、協議、主機、網絡或端口的過濾， 並提供and、or、not等邏輯語句來幫助你去掉無用的信息。   1）所有參數及含義： -A 以ASCII格式打印出所有分組，並將鏈路層的頭最小化。 -c 在收到指定的數量的分組後，tcpdump就會停止。 -C 在將一個原始分組寫入文件之前，檢查文件當前的大小是否超過了參數file_size 中指定的大小。如果超過了指定大小，則關閉當前文件，然後在打開一個新的文件。參數 file_size 的單位是兆字節（是1,000,000字節，而不是1,048,576字節）。 -d 將匹配信息包的代碼以人們能夠理解的匯編格式給出。 -dd 將匹配信息包的代碼以c語言程序段的格式給出。 -ddd 將匹配信息包的代碼以十進制的形式給出。 -D 打印出系統中所有可以用tcpdump截包的網絡接口。 -e 在輸出行打印出數據鏈路層的頭部信息。 -E 用spi@ipaddr algo:secret解密那些以addr作為地址，並且包含了安全參數索引值spi的IPsec ESP分組。 -f 將外部的Internet地址以數字的形式打印出來。 -F 從指定的文件中讀取表達式，忽略命令行中給出的表達式。 -i 指定監聽的網絡接口，多網卡時很有用。 -l 使標准輸出變為緩沖行形式，可以把數據導出到文件。 -L 列出網絡接口的已知數據鏈路。 -m 從文件module中導入SMI MIB模塊定義。該參數可以被使用多次，以導入多個MIB模塊。 -M 如果tcp報文中存在TCP-MD5選項，則需要用secret作為共享的驗證碼用於驗證TCP-MD5選選項摘要（詳情可參考RFC 2385）。 -b 在數據-鏈路層上選擇協議，包括ip、arp、rarp、ipx都是這一層的。 -n 不把網絡地址轉換成名字。 -nn 不進行端口名稱的轉換，即不進行域名解析。 -N 不輸出主機名中的域名部分。例如，‘nic.ddn.mil‘只輸出’nic‘。 -t 在輸出的每一行不打印時間戳。 -O 不運行分組分組匹配（packet-matching）代碼優化程序。 -P 不將網絡接口設置成混雜模式。 -q 快速輸出。只輸出較少的協議信息。 -r 從指定的文件中讀取包(這些包一般通過-w選項產生)。 -S 將tcp的序列號以絕對值形式輸出，而不是相對值。 -s 從每個分組中讀取最開始的snaplen個字節，而不是默認的68個字節。 -T 將監聽到的包直接解釋為指定的類型的報文，常見的類型有rpc遠程過程調用）和snmp（簡單網絡管理協議；）。 -t 不在每一行中輸出時間戳。 -tt 在每一行中輸出非格式化的時間戳。 -ttt 輸出本行和前面一行之間的時間差。 -tttt 在每一行中輸出由date處理的默認格式的時間戳。 -u 輸出未解碼的NFS句柄。 -v 輸出一個稍微詳細的信息，例如在ip包中可以包括ttl和服務類型的信息。 -vv 輸出詳細的報文信息。 -w 直接將分組寫入文件中，而不是不分析並打印出來，保存到文件時很有用。      -X 顯示數據包內容，格式為十六進制。   2）Tcpdump表達式 表達式是一個正則表達式，tcpdump利用它作為過濾報文的條件，如果一個報文滿足表達式的條件，則這個報文將會被捕獲。 如果沒有給出任何條件，則網絡上所有的信息包將會被截獲。在表達式中一般如下幾種類型的關鍵字：    第一種是關於類型的關鍵字，主要包括host，net，port。 例如host 210.27.48.2，指明 210.27.48.2是一台主機，net 202.0.0.0指明202.0.0.0是一個網絡地址，port 23 指明端口號是23。如果沒有指定類型，缺省的類型是host。    第二種是確定傳輸方向的關鍵字，主要包括src，dst，dst or src，dst and src。 這些關鍵字指明了傳輸的方向。舉例說明，src 210.27.48.2指明ip包中源地址是 210.27.48.2，dst net 202.0.0.0指明目的網絡地址是202.0.0.0。 如果沒有指明方向關鍵字，則缺省是src or dst關鍵字。   第三種是協議的關鍵字，主要包括fddi，ip，arp，rarp，tcp，udp等類型。 如果沒有指定任何協議，則tcpdump 將會監聽所有協議的信息包。   除了這三種類型的關鍵字之外，其他重要的關鍵字如下：gateway，broadcast，less，greater。 還有三種邏輯運算，取非運算是 ‘not ' '! ‘，與運算是’and’，’&&'，或運算是’or’。   3）例如，監控8012端口上的TCP包： [root@bogon ~]# tcpdump -nn -n dst port 8012 and tcp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes 13:17:19.728118 IP 10.25.1.41.58755 > 192.168.195.146.8012: Flags [.], ack 4530972, win 255, length 0 13:17:20.086680 IP 10.25.1.41.58757 > 192.168.195.146.8012: Flags [S], seq 2652586086, win 8192, options [mss 1367,nop,wscale 8,nop,nop,sackOK], length 0 13:17:20.095037 IP 10.25.1.41.58755 > 192.168.195.146.8012: Flags [F.], seq 0, ack 1, win 255, length 0 13:17:20.122483 IP 10.25.1.41.58757 > 192.168.195.146.8012: Flags [.], ack 56813455, win 259, length 0 13:17:20.123865 IP 10.25.1.41.58757 > 192.168.195.146.8012: Flags [P.], seq 0:394, ack 1, win 259, length 394 13:17:20.244773 IP 10.25.1.41.58757 > 192.168.195.146.8012: Flags [P.], seq 394:679, ack 727, win 256, length 285 13:17:20.284014 IP 10.25.1.41.58757 > 192.168.195.146.8012: Flags [.], ack 850, win 255, length 0 ^C 7 packets captured 7 packets received by filter 0 packets dropped by kernel   其他常用參數組合如下： [html] view plaincopy 下面的例子全是以抓取eth0接口為例，如果不加”-i eth0”是表示抓取所有的接口包括lo。   首先安裝tcpdump包：yum install -y tcpdump       1、抓取包含172.16.1.122的數據包   # tcpdump -i eth0 -vnn host 172.16.1.122       2、抓取包含172.16.1.0/24網段的數據包   # tcpdump -i eth0 -vnn net 172.16.1.0/24       3、抓取包含端口22的數據包   # tcpdump -i eth0 -vnn port 22       4、抓取udp協議的數據包   # tcpdump -i eth0 -vnn  udp       5、抓取icmp協議的數據包   # tcpdump -i eth0 -vnn icmp      6、抓取arp協議的數據包   # tcpdump -i eth0 -vnn arp       7、抓取ip協議的數據包   # tcpdump -i eth0 -vnn ip       8、抓取源ip是172.16.1.122數據包。   # tcpdump -i eth0 -vnn src host 172.16.1.122       9、抓取目的ip是172.16.1.122數據包   # tcpdump -i eth0 -vnn dst host 172.16.1.122       10、抓取源端口是22的數據包   # tcpdump -i eth0 -vnn src port 22       11、抓取源ip是172.16.1.253且目的ip是22的數據包   # tcpdump -i eth0 -vnn src host 172.16.1.253 and dst port 22                     12、抓取源ip是172.16.1.122或者包含端口是22的數據包   # tcpdump -i eth0 -vnn src host 172.16.1.122 or port 22       13、抓取源ip是172.16.1.122且端口不是22的數據包   [root@ ftp]# tcpdump -i eth0 -vnn src host 172.16.1.122 and not port 22      14、抓取源ip是172.16.1.2且目的端口是22，或源ip是172.16.1.65且目的端口是80的數據包。   # tcpdump -i eth0 -vnn \( src host 172.16.1.2 and dst port 22 \) or   \( src host 172.16.1.65 and dst port 80 \)       15、抓取源ip是172.16.1.59且目的端口是22，或源ip是172.16.1.68且目的端口是80的數據包。   # tcpdump -i  eth0 -vnn 'src host 172.16.1.59 and dst port 22' or  ' src host 172.16.1.68 and dst port 80 '       16、把抓取的數據包記錄存到/tmp/fill文件中，當抓取100個數據包後就退出程序。   # tcpdump –i eth0 -vnn -w  /tmp/fil1 -c 100       17、從/tmp/fill記錄中讀取tcp協議的數據包   # tcpdump –i eth0 -vnn -r  /tmp/fil1 tcp       18、從/tmp/fill記錄中讀取包含172.16.1.58的數據包   # tcpdump –i eth0 -vnn -r  /tmp/fil1 host  172.16.1.58       2.Netstat命令   1）所有參數如下，常用參數用紅色標記：   -a或--all   顯示所有連線中的Socket，例如已建立連接（ESTABLISHED），監聽連接請求（LISTENING）等。   -A<網絡類型>或--<網絡類型>   列出該網絡類型連線中的相關地址。   -c或--continuous   持續列出網絡狀態。   -C或--cache   顯示路由器配置的快取信息。   -e或--extend   顯示網絡其他相關信息。   -F或--fib   顯示FIB。   -g或--groups   顯示多重廣播功能群組組員名單。   -h或--help   在線幫助。   -i或--interfaces   顯示網絡界面信息表單。   -l或--listening   顯示監控中的服務器的Socket。   -M或--masquerade   顯示偽裝的網絡連線。   -n或--numeric   直接使用IP地址，而不通過域名服務器。   -N或--netlink或--symbolic   顯示網絡硬件外圍設備的符號連接名稱。   -o或--timers   顯示計時器。   -p或--programs   顯示正在使用Socket的程序識別碼和程序名稱。   -r或--route   顯示Routing Table。   -s或--statistice   顯示網絡工作信息統計表。   -t或--tcp   顯示TCP傳輸協議的連線狀況。   -u或--udp   顯示UDP傳輸協議的連線狀況。   -v或--verbose   顯示指令執行過程。   -V或--version   顯示版本信息。   -w或--raw   顯示RAW傳輸協議的連線狀況。   -x或--unix   此參數的效果和指定"-A unix"參數相同。   --ip或--inet   此參數的效果和指定"-A inet"參數相同。   2）執行：netstat -anltpu 輸出結果： Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name  tcp        0      0 127.0.0.1:2208              0.0.0.0:*                   LISTEN      3226/hpiod         tcp        0      0 0.0.0.0:3306                0.0.0.0:*                   LISTEN      3411/mysqld        tcp        0      0 0.0.0.0:1002                0.0.0.0:*                   LISTEN      2940/rpc.statd     tcp        0      0 0.0.0.0:111                 0.0.0.0:*                   LISTEN      2883/portmap       tcp        0      0 127.0.0.1:631               0.0.0.0:*                   LISTEN      3259/cupsd         tcp        0      0 127.0.0.1:25                0.0.0.0:*                   LISTEN      3453/sendmail: acce tcp        0      0 127.0.0.1:2207              0.0.0.0:*                   LISTEN      3231/python        tcp        0      0 202.102.240.93:3306         122.207.210.12:1750         ESTABLISHED 3411/mysqld        tcp        0      0 202.102.240.93:3306         122.207.210.12:1748         ESTABLISHED 3411/mysqld        tcp        0      0 202.102.240.93:3306         202.102.240.93:59141        ESTABLISHED 3411/mysqld        tcp        0      0 202.102.240.93:59141        202.102.240.93:3306         ESTABLISHED 7059/httpd    其他常用組合有：-nltp只查看LISTEN狀態的TCP連接的程序。   3）可以借助watch命令或netstat的-c參數，幫助我們實時監控某個進程的網絡狀況：      watch -n 1 -d "netstat -anpo | grep "php-fpm"" 輸出結果： tcp        0      0 192.168.195.145:48467       192.168.198.52:6379         ESTABLISHED 27908/php-fpm       off (0.00/0/0) tcp        0      0 192.168.195.145:39178       192.168.195.145:3306        ESTABLISHED 27908/php-fpm       keepalive (7197.09/0/0) unix  2      [ ACC ]     STREAM     LISTENING     2449287 27901/php-fpm       /dev/shm/php-fcgi.sock unix  3      [ ]         STREAM     CONNECTED     2450180 27908/php-fpm       /dev/shm/php-fcgi.sock unix  3      [ ]         STREAM     CONNECTED     2449286 27901/php-fpm unix  3      [ ]         STREAM     CONNECTED     2449285 27901/php-fpm