tcpdump在bigip网络排错中的应用

 

    F5的负载均衡产品Bigip不用我多介绍了，是ADN（应用交付网络）市场里的龙头老大。由于其基于Linux系统，所以同样拥有tcpdump网络抓包工具，是网络排错方面的必备工具。下面简单介绍用法。

 

• 对特定网络接口做抓包：tcpdump -i <interface>

    例如：

    tcpdump -i ext1

 

• 禁用名称解析：

    默认情况下，tcpdump会尝试将IP地址解析为名称。这样会导致抓包过程中很多时间耗费在DNS解析上，其输出结果也会比较繁杂，令人不知所以。

    要禁用名称解析，可以使用-n标志：

    tcpdump -n

 

• 将tcpdump输出到文件(输出到文件时，不会同时输出到屏幕)：

    有两种选择：输出为二进制文件，输出为文本文件。

1. 二进制文件：tcpdump -w <binaryfilename>

    例如：tcpdump -w dump1.bin

1. 文本文件：  tcpdump > <textfilename>

    例如：tcpdump >dump1.txt

 

• 那么怎么查看tcpdump生成的文件呢？依然使用tcpdump命令，加上-r参数：

    tcpdump -r <filename>

    例如：tcpdump -r dump1.bin

 

• 过滤器：

    f5的tcpdump可以在抓包时就进行过滤。

1.  IP地址过滤

1.1  对IP地址过滤(包括了这个IP上流进和流出的包)： tcpdump host <IP_address>

例如：tcpdump host 10.10.1.1

 

1.2.  对来自某IP地址的包进行过滤：tcpdump src host <IP_address>

1.3.  对流向某IP地址的包进行过滤：tcpdump dst host <IP_address>

2.  端口过滤

2.1  源端口过滤：tcpdump src port <port_number>

2.2  目的端口过滤：tcpdump dst port <port_number>

3.  tcpdump还可以对TCP数据段标志位进行过滤。这个对传输层排错很有用：

3.1  过滤SYN标志： tcpdump 'tcp[tcpflags]&(tcp-syn)!=0'

3.2  过滤RST标志： tcpdump 'tcp[tcpflags]&(tcp-rst)!=0'

 

• and操作符可以将多个过滤器联合起来工作，产生更符合需求的抓包结果。

    tcpdump src host 172.16.101.20 and dst port 80

 

• 在直接输出至屏幕，或者从已抓取文件中读出结果时，应该使用-X开关，以便以ASCII码进行输出包头信息。TCP包的主体数据还是以十六进制表示。如果要查看全部信息，推荐用wireshark工具打开dump文件，能看到全部七层信息。
• 例如：

    tcpdump -X -s200 src host 172.16.100.20 and dst port 80

 

• 忽略名称解析和端口解析：

    前面说过，名称解析会耗费系统资源，建议使用-n开关来关闭名称解析。端口解析虽然不像名称解析那么耗费资源，但也不建议使用。要同时关闭名称和端口解析，使用-nn开关即可。例如：

    tcpdump -nn src host 172.16.101.20 and dst port 80

• 综合实例：

    tcpdump -Xs200 -nni eth0 -w /var/tmp/mgmt.cap dst host 172.16.101.20 and dst port 162