Pakkeopsamling med Wireshark/tcpdump

Pakkefangst er som at tage et øjebliksbillede af alle de netværksdata, der strømmer ind og ud af din enhed. Det er en effektiv teknik til at forstå netværkets adfærd og fejlfinde problemer.

Du kan se de rå "pakker" med information, herunder deres kilde, destination og de data, de indeholder. Det hjælper med at diagnosticere langsomme forbindelser, finde sikkerhedsproblemer eller fejlfinde netværksprogrammer.

tcpdump er et kommandolinjeværktøj til at opfange og analysere netværkstrafik. Det er forudinstalleret på de fleste Linux-systemer, hvilket gør det til et oplagt værktøj til hurtige netværksundersøgelser.

Det fungerer ved at "sniffe" pakker direkte fra dit netværksinterface. Du kan se dem i realtid eller gemme dem til senere analyse.

Lad os begynde med den mest grundlæggende anvendelse: at opfange al trafik på et bestemt netværksinterface. Du skal ofte have sudo-rettigheder for at køre tcpdump.

Flaget -i angiver interfacet (f.eks. eth0 eller wlan0). Hvis du udelader -i, forsøger tcpdump automatisk at vælge et interface.

Det kan være overvældende at opfange al trafik. Du vil ofte gerne filtrere efter bestemte forbindelser. Nøgleordet host lader dig opfange trafik til eller fra en bestemt IP-adresse eller et bestemt værtsnavn.

Et andet almindeligt filter er port. Det er nyttigt til at se trafik, der er knyttet til bestemte tjenester, f.eks. web (port 80/443), SSH (port 22) eller DNS (port 53).

Du kan kombinere filtre ved hjælp af logiske operatorer som and, or og not. Det giver mulighed for at målrette meget præcist mod den trafik, du vil se.

Hvis du f.eks. vil se HTTP-trafik til en bestemt vært, kan du kombinere host og port.

Til mere dybdegående analyse er det bedst at gemme de opfangede pakker i en fil. Flaget -w skriver de rå pakkedata til en fil med filendelsen .pcap. Denne fil kan derefter åbnes med andre værktøjer.

Flaget -c begrænser antallet af pakker, der skal opfanges.

Mens tcpdump er fremragende til pakkefangst fra kommandolinjen, er Wireshark branchestandarden for grafisk, dybdegående pakkeinspektion. Det har en brugervenlig grænseflade, hvor du kan visualisere og analysere opfangede netværksdata.

Wireshark kan opfange live-trafik eller åbne .pcap-filer, der er oprettet af tcpdump eller andre værktøjer.

En almindelig arbejdsgang er at opfange pakker med tcpdump på en fjernserver, hvor en grafisk brugerflade måske ikke er tilgængelig, og derefter overføre .pcap-filen til din lokale maskine for at analysere den med Wireshark.

I Wireshark går du blot til File > Open og vælger din .pcap-fil. Wireshark viser derefter alle de opfangede pakker på en struktureret måde.

I denne lektion udforskede vi den effektive verden inden for pakkefangst. Vi lærte at bruge tcpdump til at opfange og filtrere netværkstrafik direkte fra kommandolinjen.

• Grundlæggende pakkefangst med -i
• Filtrering efter host og port
• Kombinering af filtre med and, or, not
• Gemme pakkefangster i en .pcap-fil med -w

Vi introducerede også Wireshark som et grafisk værktøj til dybdegående analyse af disse filer. Det er afgørende for enhver netværksfejlfinder at mestre disse værktøjer!