使用tshark嗅探数据包

Question

我有2台服务器（serv1，serv2）进行通信，并且我正在尝试嗅探与从serv1传输到serv2的某些条件匹配的数据包。 Tshark已安装在我的Desktop（desk1）上。 我写了以下脚本：

while true; do
tshark -a duration:10 -i eth0  -R "(sip.CSeq.method == "OPTIONS") && (sip.Status-Code) && ip.src eq serv1" -Tfields -e sip.response-time > response.time.`date +%F-%T`
 done

在serv1上运行时，此脚本似乎运行良好（因为serv1将数据包发送到serv2）。 但是，当我尝试在desk1上运行它时，它无法捕获任何数据包。 它们都在同一局域网中。 我想念什么？

Answer 1

假设serv1或serv2与desk1在同一物理以太网交换机上，则可以使用称为SPAN（交换机端口分析器）的功能来嗅探serv1和serv2之间的传输流量。

假设您的服务器位于Cisco交换机的FastEtheret4 / 2上，而您的桌面位于Cisco交换机的FastEthernet4 / 3上，则应该telnet或ssh进入交换机并输入以下命令...

4507R#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.

4507R(config)#monitor session 1 source interface fastethernet 4/2

!--- This configures interface Fast Ethernet 4/2 as source port.

4507R(config)#monitor session 1 destination interface fastethernet 4/3

!--- The configures interface Fast Ethernet 0/3 as destination port.



4507R#show monitor session 1
Session 1
---------
Type : Local Session
Source Ports :
Both : Fa4/2
Destination Ports : Fa4/3


4507R#

此功能不仅限于Cisco设备... Juniper / HP / Extreme和其他企业以太网交换机供应商也支持此功能。

Answer 2

如何使用名称错误的tcpdump捕获所有来自网络的流量。 我建议做的只是捕获接口上的数据包。 不要在捕获级别进行过滤。 之后就可以过滤pcap文件了。 像这样

tcpdump -w myfile.pcap -n -nn -i eth0

Answer 3

如果您的LAN是一个交换网络（大多数），或者您的桌面NIC不支持混杂模式，那么您将看不到任何数据包。 验证这两件事。