Copie todo o tráfego da bridge para uma interface específica

Question

Eu tenho uma ponte / switch configurado em uma máquina que tem várias portas. Ocasionalmente, eu tenho um vm rodando através do virtualbox, e eu uso um adaptador virtual e então eu adiciono o adaptador à bridge. Ouvi dizer que alguns switches podem copiar todo o tráfego que veem para uma porta específica na ponte, geralmente para monitoramento de rede. Eu gostaria de poder executar algumas ferramentas de rede baseadas em janelas. Eu não quero executar o Windows no hardware real, porque seria muito trabalho para duplicar minha configuração no Windows, então eu estava pensando se eu posso copiar todo o tráfego para uma porta, posso enviá-lo para uma VM com o Windows. Como posso configurar isso? Eu acho que isso pode ser área ebtables, mas eu não sei ebtables bem o suficiente para saber com certeza, e sempre parece que (do meu entendimento de ebtables) ebtables faz algo com o tráfego (soltar, aceitar, etc), mas nunca copia-o.

    

Answer 1

Eu acho que o daemonlogger < img src="https://hostmar.co/software-large">  vai querer que você queira.

  

É capaz de operar em dois   modos: farejando pacotes e registrando   diretamente para o disco (arquivos são   automaticamente rolado após 1GB   de dados) ou em um modo "soft-tap"   onde espelha pacotes em outro   interface.

É o repositório, portanto, sudo apt-get install daemonlogger irá ajudá-lo.

A sintaxe seria semelhante a

sudo daemonlogger -i <input_interface> -o <mirror_interface>

onde os argumentos são explicados como

   -i <interface>
   Set interface to grab data from to <interface>.

   -o <interface>
   Disable logging, instead mirror  traffic  from  -i  <interface>  to  -o
   <interface>.

A maior advertência é que você precisa ter certeza de que a porta de destino é capaz de receber o tráfego retransmitido.

Se você precisar de orientação de configuração mais específica, precisará fornecer mais detalhes sobre a ponte e a configuração da interface.

    

Answer 2

Eu não acredito que isso seja possível com uma ponte de software baseada em Linux (pelo menos, não em sua versão atual). Se fosse, deveria ser uma opção no utilitário brctl .

Sim, muitos switches Ethernet físicos têm algum tipo de recurso de espelhamento / monitoramento, o que permitiria designar uma interface dentro da bridge para enviar o tráfego all . Parece que isso seria um bom aprimoramento para situações como a sua.

Editar : talvez você possa usar um controle de tráfego regra para conseguir isso.