tcpdump抓镜像口流量时,根据业务情况使用vlan参数

昨天在服务器上用tcpdump抓包学习了两个新知识。

太长不看:

1、镜像口的流量使用tcpdump抓包时,尝试使用vlan参数。

2、不指定网卡,而使用tcpdump -ni any的时候,可能会无法使用vlan参数,需要指定具体网卡。

 

 

具体的情况:

首先,我这台服务器有三个网卡,其中两个网卡接了交换机的镜像流量,一个网卡是服务器的ip用于登录。

然后,从61.xx.xx.xx ping 114.xx.xx.xx,尝试在服务器上抓包,结果发现只有request,为什么没有reply?

[root@localhost maltrail]# tcpdump -ni any host 114.xx.xx.xx and icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
11:47:51.009867 IP 61.xx.xx.xx > 114.xx.xx.xx: ICMP echo request, id 26894, seq 6024, length 40
11:47:52.011804 IP 61.xx.xx.xx > 114.xx.xx.xx: ICMP echo request, id 36239, seq 6025, length 40
11:47:53.010777 IP 61.xx.xx.xx > 114.xx.xx.xx: ICMP echo request, id 32766, seq 6026, length 40
11:47:54.010792 IP 61.xx.xx.xx > 114.xx.xx.xx: ICMP echo request, id 29980, seq 6027, length 40
 

最初以为是交换机镜像口配错了,反复向交换机同学确认,交换机镜像口确实是both镜像。

随后一恼,尝试不使用filter,而使用grep来过滤

[root@localhost maltrail]# tcpdump -ni any | grep "IP 114\.xx\.xx\.xx" | grep ICMP
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
11:52:13.037124 IP 114.xx.xx.xx > 61.xx.xx.xx: ICMP echo reply, id 60936, seq 6028, length 40
11:52:14.047035 IP 114.xx.xx.xx > 61.xx.xx.xx: ICMP echo reply, id 63291, seq 6029, length 40
11:52:15.047064 IP 114.xx.xx.xx > 61.xx.xx.xx: ICMP echo reply, id 58938, seq 6030, length 40
11:52:16.047052 IP 114.xx.xx.xx > 61.xx.xx.xx: ICMP echo reply, id 58723, seq 6031, length 40

 

卧槽?!  有reply了,但没有request了……这是什么诡异情况……总之先向交换机同学道歉,抱歉,我错了……

 

随后尝试将两种方式抓的包写入到pcap文件中,用wireshark分析,一对比马上就发现问题了。总结如下三种情况

1、在使用filter的情况下,抓的包没有下面的vlan信息,只能抓到request请求

2、不使用filter的时候,则会有下述的vlan信息,但只能抓到reply的应答,而且需要对输出内容额外再做过滤。

3、使用filter,同时使用vlan参数,包中有vlan信息,但只能抓到reply的应答。

根据自身的业务情况决定使用具体哪种方式。

tcpdump抓镜像口流量时,根据业务情况使用vlan参数_第1张图片

 

使用tcpdump -ni any 时,再使用vlan参数,由于any中包含管理ip的网卡,因此会报错,指定具体的eth0或者eth1就不会报了。
tcpdump: no VLAN support for data link type xxx

 

 

你可能感兴趣的:(tcpdump抓镜像口流量时,根据业务情况使用vlan参数)