Analisando a saída do tcpdump

2

Aqui com outra pergunta :) Não tenho certeza se é um idiota .. Eu estava experimentando com o comando tcpdump e quero saber como analisar os logs uma vez capturados Por exemplo: 06: 47: 41,060885 IP > ip-.us-west-2.compute.internal.ssh: Sinalizadores [.], ack 144, ganho 256, comprimento 0 06: 47: 41.779943 IP ip-6.us-west-2.compute.internal.ssh > : Flags [P.], seq 144: 208, ack 1, win 284, comprimento 64

O que os campos indicam e como você confirma que há um problema com o tráfego? Obrigado

    
por lad 16.05.2016 / 13:06

1 resposta

1

% bl0ck_qu0te%
06:47:41.060885 IP  > .us-west-2.compute.internal.ssh: Flags [.], ack 144, win 256, length 0
06:47:41.779943 IP .us-west-2.compute.internal.ssh > : Flags [P.], seq 144:208, ack 1, win 284, length 64

O primeiro campo é o horário em que o pacote chegou, como hora: minuto: segundo, com "segundo" segundos e frações de segundo.

O segundo campo é o protocolo executado sobre a camada de enlace - IPv4, neste caso.

Para pacotes IP:

O terceiro campo é o endereço IP ou o nome do host que envia o pacote, juntamente com os pacotes TCP e UDP, a porta de origem. O primeiro pacote veio da porta 12601, e o segundo pacote veio da porta ssh do ip-.us-west-2.compute.internal (porta 22).

O quarto campo (separado do terceiro campo com um caractere ">", indicando a direção do pacote, isto é, apontando para a direita, então o pacote está vindo do terceiro campo para o quarto campo) é o endereço IP ou o nome do host que hospeda o pacote, juntamente com os pacotes TCP e UDP, a porta de destino.

"Sinalizadores [...]" são os sinalizadores do segmento TCP. "P" é o sinalizador Push (PSH), então o primeiro pacote não tem nenhum conjunto de sinalizadores (diferente de ACK) e o segundo tem o sinalizador Push configurado.

"seq" é o número de sequência no pacote e o número de sequência que os próximos dados após esse pacote teriam.

"ack" é o número de confirmação no pacote. O tcpdump mostra números de sequência e reconhecimento relativos ao número de sequência inicial por padrão.

"comprimento" é o tamanho dos dados no segmento TCP.

% bl0ck_qu0te%

Sabendo qual problema você está procurando e vendo se está presente. O Tcpdump não disseca todas as camadas do protocolo, portanto, pode não mostrar problemas em todas as camadas. O Wireshark pode mostrar mais informações, mas, novamente, você precisa saber que tipo de problemas poderiam estar presentes e como identificá-los.

    
por user126192 16.05.2016 / 22:50