如何捕获远程系统网络流量？

Question

我一直在使用wire-shark来分析套接字程序的数据包,现在我想看到其他主机流量的流量,因为我发现我需要使用仅在Linux平台上支持的监控模式,所以我试过但是我无法捕获在我的网络中传输的任何数据包,列为捕获的0数据包.

场景:

我有一个由50多台主机组成的网络(所有网络都由Windows驱动除外),我的IP地址是192.168.1.10,当我在任何192.168.1.xx之间启动通信时,它显示捕获的流量.但我的要求是从我的主机i监控192.168.1.21 b/w 192.168.1.22的流量.从192.168.1.10.

1:如上所述,是否可以捕获流量？

2:如果有可能那么线鲨是正确的工具(或者我应该使用不同的工具)？

3:如果不可能,为什么呢？

Answer 1

只需使用您自己的过滤器和ips进行调整:(在本地主机上)

ssh -l root <REMOTE HOST> tshark -w - not tcp port 22 | wireshark -k -i -

或使用bash:

wireshark -k -i <(ssh -l root <REMOTE HOST> tshark -w - not tcp port 22)

您可以使用tcpdump而不是tshark根据需要:

ssh -l root <REMOTE HOST> tcpdump -U -s0 -w - -i eth0 'port 22' |
     wireshark -k -i -

Answer 2

您连接到正在“交换”流量的交换机。它基于您的 MAC 地址看到的流量。它不会向您发送不是发往您的 MAC 地址的流量。如果您想监控所有流量，则需要将交换机配置为使用“端口镜像”并将嗅探器插入该端口。您可以在计算机上安装任何软件来规避网络交换的工作方式。

http://en.wikipedia.org/wiki/Port_mirroring