Debian 7.11 - 如何捕获所有到达的SMPP并通过某些端口发送数据包

Question

我正在使用以下代码来捕获端口传入和传出的tcp数据包:

tcpdump -i any -s 0 -vvv -A port 3727 or port 5016 or port 3724 -w /home/admin/dump1.cap

但是tcpdump只捕获传入的数据包,我需要同时传入和传出数据包.有谁知道我的错误在哪里？

提前致谢.

Answer 1

tcpdump -i any -s 0 -vvv -A port 3727 or port 5016 or port 3724 --direction=in --direction=out -w /home/admin/dump1.cap

--direction = in表示传入流量--direction = out表示传出流量.

您可以在tcpdump的手册页上找到更多信息. http://www.tcpdump.org/tcpdump_man.html

Answer 2

如果您的流量通过 ipsec 隧道，则可能会发生这种情况（通过运行检查是否属于这种情况ipsec statusall）。要捕获解密的数据包，您可以添加 IPtables 规则以将 ipsec 流量转发到 nflog 接口：

iptables -t mangle -I PREROUTING -m policy --pol ipsec --dir in -j NFLOG --nflog-group 5
iptables -t mangle -I POSTROUTING -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

然后tcpdump nflog接口：

tcpdump -i nflog:5 -y IPV4 -s0 -A port 3727 or port 5016 or port 3724

完成后请记住删除 nflog 规则！

iptables -t mangle -D PREROUTING -m policy --pol ipsec --dir in -j NFLOG --nflog-group 5
iptables -t mangle -D POSTROUTING -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

资料来源：https ://wiki.strongswan.org/projects/strongswan/wiki/CorrectTrafficDump