sys-cmd tcpdump

sys-cmd tcpdump, WEB-CLI'de seçili route table'ın arayüzlerinden geçen paketleri yakalar. Paketler ya satır satır ekrana yazılır ya da | to-file ile Wireshark gibi araçlarda açılabilen bir pcap dosyasına kaydedilir. "VIP'e istek geliyor mu, backend'e iletiliyor mu, yanıt dönüyor mu, bağlantı sıfırlanıyor mu?" sorularının paket düzeyindeki yanıtıdır.

Komut Özeti

TR7 WEB-CLI · sys-cmd tcpdump

# tcpdump yazıp Tab: serbest parametre

admin@TR7LBWAF01> sys-cmd tcpdump

<tcpdump-parameter-1>

 

# ekrana

admin@TR7LBWAF01> sys-cmd tcpdump <parametreler> <filtre>

# pcap dosyasına

admin@TR7LBWAF01> sys-cmd tcpdump <parametreler> <filtre> | to-file <dosya-adı>

admin@TR7LBWAF01>  

tcpdump sözcüğünden sonra yazılan her şey araca olduğu gibi aktarılır. Zorunlu alan yoktur; filtre yazılmazsa arayüzdeki bütün paketler yakalanır.

Nasıl Çalışır

Konu	Davranış
Bağlam	Seçili v-device ve route table'ın arayüzlerini dinler; başka bir route table'ın trafiği için önce route-table set çalıştırılır.
Ekrana yakalama	Satırlar paket geldikçe ekrana akar.
Dosyaya yakalama	Satır | to-file <dosya-adı> ile bittiğinde CLI tcpdump'a paketleri pcap biçiminde ve paket başına 100000 bayta kadar tam içerikle yazdırır. Yakalama sürerken ekrana hiçbir satır gelmez.
Engellenen parametreler	-w ya da -r ile başlayan parametre reddedilir: -w not allowed for tcpdump, -r not allowed for tcpdump. Dosyaya yazmanın tek yolu to-file pipe'ıdır.
Süre	-c verilmezse durmadan dinler; Ctrl+C ile durdurulur.
Kayıt	Her çalıştırma kullanıcı loglarına, dosyanın indirilmesi ayrıca kaydedilir.

Sık Kullanılan Parametreler

Parametre	Ne yapar	Arkasına ne yazılır
-i	Dinlenecek arayüzü seçer; any bütün arayüzleri dinler	Arayüz adı ya da any
-c	Belirtilen sayıda paket yakalayınca durur	Sayı (ör. 500)
-n · -nn	Adresleri (-nn ile portları da) ada çevirmez	—
-A	Paket içeriğini metin olarak gösterir; şifresiz HTTP başlıklarını görmek için	—
-X	Paket içeriğini onaltılık ve metin olarak gösterir	—
-e	Bağlantı katmanı başlığını (MAC adresleri, VLAN) ekler	—
-v	Daha ayrıntılı çözümleme yazar	—

Filtre ifadeleri parametrelerden sonra yazılır:

İfade	Ne yakalar	Örnek
host	Kaynağı ya da hedefi bu adres olan paketler	host 10.20.0.30
src · dst	Yalnız kaynağı ya da yalnız hedefi bu adres olan paketler	src 203.0.113.7
port	Kaynak ya da hedef portu bu olan paketler	port 443
net	Bu alt ağdaki adreslerle ilgili paketler	net 10.20.0.0/24
tcp · udp · icmp	Protokole göre	udp port 53
and · or · not	İfadeleri birleştirir	host 10.20.0.30 and not port 22

Parantez içeren ifadeler tek tırnak içine alınır: '(port 80 or port 443)'. | karakteri tırnak içinde bile pipe sayıldığından filtre ifadesinde kullanılamaz. Tablolar sık kullanılanları özetler; tam liste aracın cihazdaki sürümüne bağlıdır.

Örnekler

TR7 WEB-CLI · A) VIP'e gelen 443 trafiği, 50 paket

admin@TR7LBWAF01> sys-cmd tcpdump -nn -i any -c 50 host 10.0.7.20 and port 443

admin@TR7LBWAF01>  

TR7 WEB-CLI · B) Sıfırlanan bağlantılar

admin@TR7LBWAF01> sys-cmd tcpdump -nn -i any 'tcp[tcpflags] & tcp-rst != 0'

admin@TR7LBWAF01>  

TR7 WEB-CLI · C) Şifresiz HTTP başlıkları

admin@TR7LBWAF01> sys-cmd tcpdump -nn -i any -A -c 20 host 10.20.0.30 and port 80

admin@TR7LBWAF01>  

TR7 WEB-CLI · D) Backend trafiğini pcap dosyasına al ve indir

admin@TR7LBWAF01> sys-cmd tcpdump -nn -i any -c 2000 host 10.20.0.30 and port 8443 | to-file backend-8443.pcap

# Link sütunundaki adresle indirilir

admin@TR7LBWAF01> sys-cmd file show backend-8443.pcap

# iş bitince sil

admin@TR7LBWAF01> sys-cmd file delete backend-8443.pcap

admin@TR7LBWAF01>  

TR7 WEB-CLI · E) DNS sorgularını süz

admin@TR7LBWAF01> sys-cmd tcpdump -nn -i any udp port 53 | grep example.com

admin@TR7LBWAF01>  

Bilinmesi Gerekenler

Yakalama sınırlanarak başlatılır

Filtresiz ya da -c verilmemiş bir dosyaya yakalama, geçici disk alanını hızla doldurur (alan varsayılan olarak 2G'dir). Önce dar bir host / port filtresi ve -c ile başlanır; alanın doluluğu file disk show ile izlenir.

• Dosya adı. to-file ile verilen ad yalnız harf, rakam, -, _ ve . içerir; dosya file list çıktısında görünür.
• Ekrana yazdırma yok. Dosyaya yakalamada to-file komutuna --stdout eklenmez; pcap ikili bir biçim olduğundan ekranda okunamaz.
• Komut yardımındaki /tmp/ notu. Tab yardımında görünen "pcap çıktısı için /tmp/ dizini kullanılabilinir" ifadesi bu sürümün davranışıyla örtüşmez: -w reddedilir, dosya yalnız to-file ile alınır.
• TLS içeriği. 443 trafiğinin içeriği şifreli görünür; el sıkışma adımları için ssldump kullanılır.