請教一個tcpdump抓包遇到的問題

peimichael

不知道這個問題發(fā)這是否合適。

最近需要監(jiān)控一些流量，在交換機(jī)上做了一個端口鏡像，把某端口進(jìn)出流量全部鏡像到一臺服務(wù)器的網(wǎng)口。
在網(wǎng)口上用tcpdump抓包發(fā)現(xiàn)一點(diǎn)問題，如果不加任何過濾條件，雙向的包都能抓到，
如果加上過濾條件，不管是指定端口還是ip，就只能抓到一個方向的包，但是這個過濾條件絕對包含量雙向的報(bào)文
另外試了下如果用否定的過濾方式，比如 host not x.x.x.x 或者tcp port not xx是可以抓到雙向報(bào)文的
不知道這是啥情況？哪位大俠遇到過這現(xiàn)象？

瀚海書香

回復(fù) 1# peimichael
估計(jì)是tcpdump的參數(shù)有問題吧。把你的命令打出來看看

   

peimichael

舉個例子，我用tcpdump -i eth2 -nn -c 10可以抓到
1.1.1.1.80 > 2.2.2.2.12345 xxxx
2.2.2.2.12345 > 1.1.1.1.80 xxxx
這些報(bào)文，但是以下四個命令
tcpdump -i eth2 -nn -c 10 host 1.1.1.1
tcpdump -i eth2 -nn -c 10 host 2.2.2.2
tcpdump -i eth2 -nn -c 10 tcp port 80
tcpdump -i eth2 -nn -c 10 tcp port 12345
只能抓到
1.1.1.1.80 > 2.2.2.2 xxxx
這些報(bào)文，就是說不管我用哪個host做過濾，都只能抓到1.1.1.1.80發(fā)出的報(bào)文。
如果用下面命令
tcpdump -i eth2 -nn -c 10 dst host 1.1.1.1
就什么報(bào)文也抓不到了

peimichael

有啥配置可能引起這個現(xiàn)象?

fanronghua

用 ethereal

peimichael

回復(fù) 5# fanronghua

有命令行版的嗎？服務(wù)器沒圖形界面，也不讓起vnc之類的服務(wù)