13TCPDump流量监控工具

13TCPDump流量监控工具

一、流量监控概述

对于一个通信过程的分析，首先要把握5个最基本的数据：

源IP：谁发起的请求，谁就是源，任意一端都可能是源，也可能是目标。
源端口：通常情况下，第一次发出请求的，就可以称之为客户端，第一次的目标机，称之为服务器端。
目标IP：通常情况下，目标IP也却似那个的，并且目标端口也是确定的
目标端口：对于服务器来说，通常也是确定的
协议：实现约定好的规则，http，https，ssh是最为流行的应用层协议

然后具体查看内容(Payload:载荷)

二、安装tcpdump

yum install -y tcpdump
 tcpdump                        x86_64                        14:4.9.2-4.el7_7.1        
 libpcap                        x86_64                        14:1.5.3-13.el7_9           

libpcap是linux上标准的流量监控的库，大多数流量监控工具都是基于这个底层库进行开发
windows上，比较知名的是winpcap(wireshark)和npcap
目前市场上主流的防火墙、IDS、IPS、包过滤工具、只要涉及到流量的产品或系统，底层均基于以上这些库

三、tcpdump使用

tcpdump -i ens33:  监控ens33网卡上的流量，并输出到终端
tcpdump tcp and dst 80 -i ens33：只是监控目的端口为服务器端的80端口的流量
tcpdump tcp and dst 80 -i ens33 -w ./target.pcap：将流量保存到target.pcap

tcpdump tcp and dst port 80 -i ens33 -c 100：只捕获100条数据包就自动结束

科来公司 克莱网络分析系统 + wireshark