linux-3-网络流量分析

yum install -y epel-release
yum install -y vnstat
vnstat -i eth0 -l #实时流量情况

vnstat是一个应用于Linux或BSD平台，对网卡流量做监控。 并非是基于网络包嗅探的方式而是基于/proc的分析。现在vnstat已经有出vnstat PHP frontend 扩展了，可以以PHP脚本的形式直接调用vnStat监测的数据



#linux抓包命令，tcpdump

tcpdump -i eth2 -s 0 -c 10000 -w 1.cap
tcpdump -i eth2 -s 0 -c 10000 -w 0808.cap
-c:发包个数，-w将输出记录到文件


tcpdump -i em2  port 19000
tcpdump -vv -nn -i em2  tcp  port 19000 and host 192.168.1.12
tcpdump -vv -nn -i em2  tcp port 19000




tcpdump -i eth0 -nn port 21
-nn 不把地址转换为域名，不把端口转换为端口名
-n　不把地址转换为域名




tcpdump -vv -nn -i em2  tcp  port 19000 -p
p  一般情况下, 把网络接口设置为非'混杂'模式. 
-s  设置tcpdump的数据包抓取长度为snaple

网卡4种工作模式：广播（broadcast）、多播（multicast）、单播（unicast）、混杂（promisscuous）
混杂模式下网卡能接受一切通过的数据，而不管是否目的地是否是他，这也是sniffer的基本原理
ifconfig eth0 promisc 设置混杂
ifconfig eth0 -promisc 取消混杂




##查端口请求

ss -an | grep 19000|grep -i es | awk '{ print $6 }' | awk -F: '{ print $1}' | sort | uniq -c | sort -nr | head -n 30


#grep -i 忽略大小写



##安装库文件，需要 libpcap 及 libcurses 。

yum install -y flex byacc libpcap ncurses ncurses-devel libpcap-devel





##下载并安装，目前最新版是0.17。

cd /usr/local/

wget http://www.ex-parrot.com/~pdw/iftop/download/iftop-0.17.tar.gz

tar zvfx iftop-0.17.tar.gz

cd iftop-0.17

./configure --prefix=/usr/local/iftop

make && make install

cp /usr/local/iftop/sbin/iftop /bin





./iftop -i eth2 -n -P -N