tcpdump zeigt nicht alle Pakete an? [Duplikat]

0

Mögliches Duplizieren:
mein tcpdump filtert immer pakete?

Ich verwende tcpdump nun seit etwa einem Monat und hat kürzlich keine Pakete mehr erfasst, die nicht an den Computer gesendet wurden, auf dem tcpdump ausgeführt wird. Ich habe meinen Befehl reduziert, um nur: 

sudo tcpdump -i en2

Ich habe meine Schnittstellen mit ifconfig überprüft und en2 befindet sich im "PROMISC" -Modus. Wenn Sie einen bestimmten Host als Filter angeben, sehe ich nur ein paar "arp" -Meldungen, aber nichts im Vergleich zu dem, was tatsächlich im Netzwerk vor sich geht. Ich arbeite unter einem westell 7500 router. Hier ist ein Beispiel für die Ausgabe von tcpdump für den obigen Befehl, wobei "host 192.168.1.30" (ein anderer Host in meinem Netzwerk) angehängt ist, um meinen eigenen Datenverkehr herauszufiltern. 

listening on en2, link-type EN10MB (Ethernet), capture size 65535 bytes
21:16:19.968786 ARP, Request who-has 192.168.1.30 tell dslrouter.westell.com, length 46
21:16:41.471548 ARP, Request who-has 192.168.1.30 tell dslrouter.westell.com, length 46
21:16:42.395101 ARP, Request who-has 192.168.1.30 tell dslrouter.westell.com, length 46

3 packets captured
127 packets received by filter
0 packets dropped by kernel

Ich bekomme eine Mehrheit der Pakete gefiltert, auch wenn ich nicht enthalten den Hostfilter. Mir ist bekannt, dass sich mein Netzwerk möglicherweise von einem "Hub" zu einem "Switch" -Typ des Routers geändert hat. Könnte mir in diesem Fall jemand bei der Konfiguration eines Port-Mirror behilflich sein oder mich zumindest in die richtige Richtung zeigen, damit ich immer alles in meinem LAN sehen kann?

Danke vielmals.

home-networking ip sniffing tcpdump Richard Calahan
quelle
Am besten nutzen Sie einen Router, der tcpdump ausführen kann. Hubs sind manchmal zu Testzwecken nützlich, aber wenn Sie vorhaben, etwas ständig für die Netzwerküberwachung am Laufen zu halten, ist ein Hub nicht so toll. Business-Grade-Router sind der Weg zu gehen. Ich weiß, dass edgemarcs tcpdump ausführen kann. Sie können die gesamte LAN- oder WAN-Schnittstelle oder jede einzelne IP im Netzwerk problemlos überprüfen.
MaQleod
mögliches Duplikat von mein tcpdump filtert immer pakete? Ich denke, Sie haben diese Frage bereits über StackOverflow gestellt und sie wurde zu SuperUser migriert. Wenn Sie zu Ihren Kontoeinstellungen gehen und Ihre Konten verknüpfen, können Sie die bereits vorhandene, migrierte Kopie der Frage steuern.
Spiff

Antworten:

0

Ein Router oder ein Switch sendet standardmäßig nicht den gesamten Verkehr an alle Ports. Sie benötigen einen Hub oder stellen sicher, dass Ihre Netzwerkgeräte den Verkehr zu einem Port spiegeln können. (manchmal auch als Spiegelung bezeichnet, manchmal als Monitor-Port und einige andere Namen bezeichnet) Grundsätzlich kommt der Netzwerkverkehr (außer Broadcasts) nicht an Ihren Computer.

Brian
quelle