TCPDUMP 8

中文man手册

NAME tcpdump
总览 (SYNOPSIS) .na .B tcpdump [ .B
描述 (DESCRIPTION) .LP
选项 (OPTIONS) .TP .B
示例 (EXAMPLES) .LP 显示所有进出
输出格式 (OUTPUT FORMAT) .LP
另见 (SEE ALSO)
作者 (AUTHORS) Van Jacobson, Craig Leres and Steven McCanne, all of the Lawrence Berkeley National Laboratory, University of California, Berkeley, CA. .LP 当前版本可以从匿名ftp 获得: .LP .RS .I ftp://ftp.ee.lbl.gov/tcpdump.tar.Z .RE .SH BUGS 请把臭虫报告传往 tcpdump@ee.lbl.gov. .LP NIT 不允许监视你自己的传出数据, BPF 可以. 我们建议你使用后者. .LP 应该试着重组 IP 分片, 至少可以为更高层的协议计算出正确的长度. .LP 名字服务逆向询问转储的不正确: 打印出 (空的)问题部分, 而实际上询问放在了回答部分. 有人认为这种逆向询问本身就是 bug, 应该修改产生问题的程序, 而非 tcpdump. .LP 苹果 Ethertalk DDP 的报文应该象 KIP DDP 的报文一样容易转储, 事实却不是这样. 即使我们有意作点什么来促销 Ethertalk (我们没有), LBL 也不允许 Ethertalk 出现在它的任何网络上, 所以我们没办法测试这些代码. .LP 如果报文的路径上出现夏时制时间变化, 可能导致时戳混乱. (这个时间变化将忽略) .LP 操作 FDDI 报头的过滤器表达式假设所有的 FDDI 报文被封装在以太报文中. 这对 IP, ARP 和 DECNET Phase IV 无疑是正确的, 但对某些协议如 ISO CLNS 不正确. 因此, 过滤器有可能会糊里糊涂的的接收一些并不真正匹配过滤器表达式的报文. .SH
[中文版最新更新]
《中国Linux论坛man手册页翻译计划》
跋

TCPDUMP

NAME
æ»è§ (SYNOPSIS)
æè¿° (DESCRIPTION)
éé¡¹ (OPTIONS)
ç¤ºä¾ (EXAMPLES)
è¾åºæ ¼å¼ (OUTPUT FORMAT)
å¦è§ (SEE ALSO)
ä½è (AUTHORS)
BUGS
[ä¸æçç»´æ¤äºº]
[ä¸æçææ°æ´æ°]
ãä¸å½Linuxè®ºåmanæåé¡µç¿»è¯è®¡åã
è·

NAME

tcpdump - è½¬å¨ç½ç»ä¸çæ°æ®æµ

æ»è§ (SYNOPSIS)

tcpdump [ -adeflnNOpqStvx ] [ -c count ] [ -F file ]
[ -i interface ] [ -r file ] [ -s snaplen ]
[ -T type ] [ -w file ] [ expression ]

æè¿° (DESCRIPTION)

Tcpdump æå°åº å¨æä¸ª ç½ç»çé¢ ä¸, å¹é å¸å°è¡¨è¾¾å¼ expression çæ¥æ ç æ¥å¤´.

å¯¹äº SunOS ç nit æ bpf çé¢: è¦ è¿è¡ tcpdump , ä½ å¿é¡» æ /dev/nit æ /dev/bpf* ç è¯»è®¿é® æé.

å¯¹äº Solaris ç dlpi: ä½ å¿é¡» æ ç½ç»ä»¿çè®¾å¤ (network pseudo device), å¦ /dev/le ç è¯»è®¿é® æé.

å¯¹äº HP-UX ç dlpi: ä½ å¿é¡» æ¯ root, æè æå® å®è£æ root ç è®¾ç½®uid ç¨åº.

å¯¹äº IRIX ç snoop: ä½ å¿é¡» æ¯ root, æè æå® å®è£æ root ç è®¾ç½®uid ç¨åº.

å¯¹äº Linux: ä½ å¿é¡» æ¯ root, æè æå® å®è£æ root ç è®¾ç½®uid ç¨åº.

å¯¹äº Ultrix å Digital UNIX: ä¸æ¦ è¶çº§ç¨æ· ä½¿ç¨ pfconfig(8) å¼æ¾äº promiscuous æä½æ¨¡å¼ (promiscuous-mode), ä»»ä½ç¨æ· é½å¯ä»¥ è¿è¡ tcpdump.

å¯¹äº BSD: ä½ å¿é¡» æ /dev/bpf* ç è¯»è®¿é® æé.

éé¡¹ (OPTIONS)

	-a		è¯ç æ ç½ç»åå¹¿æå°å è½¬æ¢æ åç§°.
	-c		å½ æ¶å° count æ¥æ å éåº.
	-d		æ ç¼è¯å¥½ç æ¥æå¹éä»£ç (packet-matching code) ç¿»è¯æ å¯è¯»å½¢å¼, ä¼ å¾ æ åè¾åº, ç¶åéåº.
	-dd		æ æ¥æå¹éä»£ç (packet-matching code) ä»¥ C ç¨åºçæ ç å½¢å¼ è¾åº.
	-ddd		æ æ¥æå¹éä»£ç (packet-matching code) ä»¥ åè¿å¶æ° å½¢å¼ è¾åº (åé¢ å ä¸ æ»æ°).
	-e		æ¾ç¤º é¾è·¯å±æ¥å¤´.
	-f		ä»¥ æ°åå½¢å¼ æ¾ç¤º ’å¤é¨ç’ äºèç½å°å, èä¸æ¯ åç¬¦å½¢å¼ (è¿ä¸ª éé¡¹ ç¨æ¥ ç»å¼ èå£³ååç SUN é»é¡µæå¡å¨ ç é®é¢ — ä¸è¬è¯´æ¥ å½å® ç¿»è¯ å¤é¨ç½ç» ç æ°åå°å æ¶ ä¼é¿ææèµ·).
	-F		æ file çåå®¹ ç¨ä½ è¿æ»¤è¡¨è¾¾å¼. å¿½ç¥ å½ä»¤è¡ ä¸ ç è¡¨è¾¾å¼.
	-i		çå¬ interface. å¦æ ä¸æå® æ¥å£, tcpdump å¨ ç³»ç» ç æ¥å£ æ¸å ä¸, å¯»æ¾ å·ç æå°, å·²ç» éç½®å¥½ç æ¥å£ (loopback é¤å¤). éä¸çæ¶å ä¼ ä¸æ è¿æ¥.
	-l		è¡ç¼å² æ åè¾åº. å¯ç¨äº ææ æ°æ® ç åæ¶ æ¥ç æ°æ®. ä¾å¦,

‘‘tcpdump -l | tee dat’’ or ‘‘tcpdump -l > dat & tail -f dat’’.

	-n		ä¸è¦æ å°å è½¬æ¢æ åå (æçæ¯ ä¸»æºå°å, ç«¯å£å·ç)
	-N		ä¸æ¾ç¤º ä¸»æºåå ä¸ç åå é¨å. ä¾å¦, å¦æ ä½¿ç¨ è¿ä¸ª éé¡¹, tcpdump åªæ¾ç¤º ‘‘nic’’, èä¸æ¯ ‘‘nic.ddn.mil’’.
	-O		ç¦æ¢è¿è¡ æ¥æå¹éä»£ç ç ä¼åå¨. è¿ä¸ªéé¡¹ åªæ å½ä½ æç ä¼åå¨ æ bug æ¶ ææç¨.
	-p		ç¦æ¢ æ æ¥å£ ç½®æ promiscuous(æå) æ¨¡å¼. æ³¨æ, æ¥å£ æå¯è½ å å¶ä»åå è å¤äº promiscuous æ¨¡å¼; å æ¤, ’-p’ ä¸è½ ä½ä¸º ‘ether host {local-hw-addr} æ ether broadcast’ ç ç®å.
	-q		å¿«éè¾åº. æ¾ç¤º è¾å°ç åè®®ä¿¡æ¯, è¾åºè¡ ä¼ çä¸ç¹ç¹.
	-r		ä» file ä¸ è¯»å¥ æ°æ®æ¥ (æä»¶ æ¯ç¨ -w éé¡¹ åå»ºç). å¦æ file æ¯ ‘‘-’’, å°±ä» æ åè¾å¥ è¯»å¥.
	-s		ä»æ¯ä¸ª æ¥æ ä¸ æªå snaplen åèçæ°æ®, èä¸æ¯ ç¼ºçç 68 (å¦ææ¯ SunOS ç NIT, æå°å¼æ¯ 96). 68 ä¸ªåè éç¨äº IP, ICMP, TCP å UDP, ä½æ¯ æå¯è½ æªæ ååæå¡å¨ å NFS æ¥æ ç åè®® ä¿¡æ¯ (è§ä¸æ). è¾åºæ¶ å¦ææå® ‘‘[\|proto]’’, tcpdump å¯ä»¥ æåº é£äº ææéè¿å° ç æ°æ®æ¥, è¿éç proto æ¯ æªæåçå¤ ç åè®®å± åç§°. æ³¨æ, éç¨ æ´å¤§ç ææèå´ ä¸ä½ å¢å äº å¤ç æ¥æ ç æ¶é´, èä¸ åå°äº æ¥æç ç¼å² æ°é, å¯è½ å¯¼è´ æ¥æçä¸¢å¤±. ä½ åºè¯¥ æ snaplen è®¾ç å°½éå°, åªè¦ è½å¤ å®¹çº³ ä½ éè¦ ç åè®®ä¿¡æ¯ å°±å¯ä»¥äº.
	-T		æ éè¿ "expression" æéåºæ¥ç æ¥æ è§£éæ æå®ç type. ç®å å·²ç¥ ç ç±»å æ: rpc (è¿ç¨è¿ç¨è°ç¨ Remote Procedure Call), rtp (å®æ¶åºç¨åè®® Real-Time Applications protocol), rtcp (å®æ¶åºç¨æ§å¶åè®® Real-Time Applications control protocol), vat (å¯è§é³é¢å·¥å· Visual Audio Tool), å wb (åå¸å¼ç½æ¿ distributed White Board).
	-S		æ¾ç¤º ç»å¯¹ç, èä¸æ¯ ç¸å¯¹ç TCP æµåºå·.
	-t		ç¦æ¢ æ¾ç¤º æ¶æ³æ å¿.
	-tt		æ¾ç¤º æªæ ¼å¼åç æ¶æ³æ å¿.
	-v		(ç¨å¾®å¤ä¸ç¹) ç¹ççè¾åº. ä¾å¦, æ¾ç¤º IP æ°æ®æ¥ ä¸ç çåå¨æ å æå¡ç±»å.
	-vv		æ´ç¹ççè¾åº. ä¾å¦, æ¾ç¤º NFS åºçæ¥æ ç éå å.
	-w		æ åå§æ¥æ åè¿ file, ä¸å åæ å æ¾ç¤º. å®ä»¬ å¯ä»¥ ä»¥å ç¨ -r éé¡¹ æ¾ç¤º. å¦æ file æ¯ ‘‘-’’, å°± åå¾ æ åè¾åº.
	-x		ä»¥ 16 è¿å¶æ° å½¢å¼ æ¾ç¤º æ¯ä¸ä¸ª æ¥æ (å»æé¾è·¯å±æ¥å¤´å) . å¯ä»¥ æ¾ç¤º è¾å°ç å®æ´ æ¥æ, å¦å åª æ¾ç¤º snaplen ä¸ª åè .

expression

ç¨æ¥ éæ© è¦ è½¬å¨ ç æ°æ®æ¥. å¦æ æ²¡æ æå® expression , å°± è½¬å¨ ç½ç»ç å¨é¨ æ¥æ. å¦å, åªè½¬å¨ ç¸å¯¹ expression ä¸º ‘true’ ç æ°æ®æ¥.

expression ç± ä¸ä¸ªæå¤ä¸ª åè¯ (primitive) ç»æ. åè¯ éå¸¸ ç± ä¸ä¸ª æ è¯ (id, åç§°ææ°å), å æ è¯ åé¢ç ä¸ä¸ªæå¤ä¸ª ä¿®é¥°å(qualifier) ç»æ. ä¿®é¥°å æ ä¸ç§ ä¸åçç±»å:

	type		ç±»åä¿®é¥°å æåº æ è¯åç§° æ æ è¯æ°å ä»£è¡¨ ä»ä¹ ç±»åçä¸è¥¿. å¯ä»¥ä½¿ç¨ç ç±»å æ host, net å port. ä¾å¦, ‘host foo’, ‘net 128.3’, ‘port 20’. å¦æ ä¸æå® ç±»åä¿®é¥°å, å°±ä½¿ç¨ ç¼ºçç host .
	dir		æ¹åä¿®é¥°å æåº ç¸å¯¹äº æ è¯ ç ä¼ è¾æ¹å (æ°æ®æ¯ ä¼ å¥è¿æ¯ä¼ åº æ è¯). å¯ä»¥ä½¿ç¨ç æ¹å æ src, dst, src or dst å src and dst. ä¾å¦, ‘src foo’, ‘dst net 128.3’, ‘src or dst port ftp-data’. å¦æ ä¸æå® æ¹åä¿®é¥°å, å°±ä½¿ç¨ ç¼ºçç src or dst . å¯¹äº ‘null’ é¾è·¯å± (å°±æ¯è¯´ è±¡ slip ä¹ç±»ç ç¹å°ç¹ åè®®), ç¨ inbound å outbound ä¿®é¥°å æå® æéç ä¼ è¾æ¹å.
	proto		åè®®ä¿®é¥°å è¦æ± å¹é æå®çåè®®. å¯ä»¥ä½¿ç¨ç åè®® æ: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp å udp. ä¾å¦, ‘ether src foo’, ‘arp net 128.3’, ‘tcp port 21’. å¦æ ä¸æå® åè®®ä¿®é¥°å, å°±ä½¿ç¨ ææ ç¬¦å ç±»å ç åè®®. ä¾å¦, ‘src foo’ æ ‘(ip æ arp æ rarp) src foo’ (æ³¨æåèä¸ç¬¦åè¯æ³), ‘net bar’ æ ‘(ip æ arp æ rarp) net bar’, ‘port 53’ æ ‘(tcp æ udp) port 53’.

ä½ä¸º ä¸è¿° ç è¡¥å, æä¸äº ç¹æ®ç ‘åè¯’ å³é®å: gateway, broadcast, less, greater å æ°å¦è¡¨è¾¾å¼. å®ä»¬ ä¸åäº ä¸é¢çæ¨¡å¼, è¿äº å¨ åé¢ æ åè¿°.

æ´å¤æç è¿æ»¤å¨è¡¨è¾¾å¼ å¯ä»¥ éè¿ and, or å not è¿æ¥ åè¯ æ¥ ç»å»º. ä¾å¦, ‘host foo and not port ftp and not port ftp-data’. ä¸ºäºå°æ²ç¹é®, å¯ä»¥å¿½ç¥ ç¸åç ä¿®é¥°å. ä¾å¦, ‘tcp dst port ftp or ftp-data or domain’ å®éä¸ å°±æ¯ ‘tcp dst port ftp or tcp dst port ftp-data or tcp dst port domain’.

åè®¸ç åè¯ æ:
dst host host

å¦æ æ¥æä¸ IP ç ç®çå°åå æ¯ host, å é»è¾ ä¸º ç. host æ¢å¯ä»¥ æ¯ å°å, ä¹å¯ä»¥ æ¯ ä¸»æºå.

src host host

å¦æ æ¥æä¸ IP ç æºå°åå æ¯ host, å é»è¾ ä¸º ç.

host host

å¦æ æ¥æä¸ IP ç æºå°åå æè ç®çå°åå æ¯ host, å é»è¾ ä¸º ç. ä¸é¢ ææç host è¡¨è¾¾å¼ é½å¯ä»¥ å ä¸ ip, arp, æ rarp å³é®å å åç¼, å°±è±¡:

ip host host

å®çä»·äº:

ether proto \ip and host host

ether dst ehost

å¦æ æ¥æç ä»¥å¤ªç®çå°å æ¯ ehost, å é»è¾ ä¸º ç. Ehost æ¢å¯ä»¥æ¯ åå (/etc/ethers éæ), ä¹å¯ä»¥æ¯ æ°å (æå³ æ°å- æ ¼å¼ å¦è§ ethers(3N) ).

ether src ehost

å¦æ æ¥æç ä»¥å¤ªæºå°å æ¯ ehost, å é»è¾ ä¸º ç.

ether host ehost

å¦æ æ¥æç ä»¥å¤ªæºå°å æ ä»¥å¤ªç®çå°å æ¯ ehost, å é»è¾ ä¸º ç.

gateway host

å¦æ æ¥æ æ host å½å ç½å³, å é»è¾ ä¸º ç. ä¹å°±æ¯è¯´, æ¥æç ä»¥å¤ªæºæç®çå°å æ¯ host, ä½æ¯ IP ç æºç®å°å é½ä¸æ¯ host. host å¿é¡» æ¯ä¸ª ä¸»æºå, èä¸ å¿é¡» åå¨ /etc/hosts å /etc/ethers ä¸. (ä¸ä¸ªçä»·çè¡¨è¾¾å¼æ¯

ether host ehost and not host host

å¯¹äº host / ehost, å®æ¢å¯ä»¥æ¯ åå, ä¹å¯ä»¥æ¯ æ°å.)

dst net net

å¦æ æ¥æç IP ç®çå°å å±äº ç½ç»å· net, å é»è¾ ä¸º ç. net æ¢å¯ä»¥ æ¯ åå (åå¨ /etc/networks ä¸), ä¹å¯ä»¥æ¯ ç½ç»å·. (è¯¦è§ networks(4)).

src net net

å¦æ æ¥æç IP æºå°å å±äº ç½ç»å· net, å é»è¾ ä¸º ç.

net net

å¦æ æ¥æç IP æºå°å æ ç®çå°å å±äº ç½ç»å· net, å é»è¾ ä¸º ç.

net net mask mask

å¦æ IP å°å å¹é æå® ç½ç»æ©ç (netmask) ç net, å é»è¾ ä¸º ç. æ¬åè¯ å¯ä»¥ç¨ src æ dst ä¿®é¥°.

net net/len

å¦æ IP å°å å¹é æå® ç½ç»æ©ç ç net, å é»è¾ ä¸º ç, æ©ç ç ææä½å®½ ä¸º len. æ¬åè¯ å¯ä»¥ç¨ src æ dst ä¿®é¥°.

dst port port

å¦æ æ¥æ æ¯ ip/tcp æ ip/udp, å¹¶ä¸ ç®çç«¯å£ æ¯ port, å é»è¾ ä¸º ç. port æ¯ä¸ä¸ª æ°å, ä¹å¯ä»¥æ¯ /etc/services ä¸ è¯´æè¿ç åå (åç tcp(4P) å udp(4P)). å¦æ ä½¿ç¨ åå, å æ£æ¥ ç«¯å£å· å åè®®. å¦æ ä½¿ç¨ æ°å, æè æäºä¹çåå, å åªæ£æ¥ ç«¯å£å· (ä¾å¦, dst port 513 å°æ¾ç¤º tcp/login çæ°æ® å udp/who çæ°æ®, è port domain å°æ¾ç¤º tcp/domain å udp/domain çæ°æ®).

src port port

å¦æ æ¥æ ç æºç«¯å£å· æ¯ port, å é»è¾ ä¸º ç.

port port

å¦æ æ¥æ ç æºç«¯å£ æ ç®çç«¯å£ æ¯ port, å é»è¾ ä¸º ç. ä¸è¿°ç ä»»æä¸ä¸ª ç«¯å£è¡¨è¾¾å¼ é½å¯ä»¥ ç¨ å³é®å tcp æ udp å åç¼, å°±è±¡:

tcp src port port

å® åªå¹é æºç«¯å£ æ¯ port ç TCP æ¥æ.

less length

å¦æ æ¥æ ç é¿åº¦ å°äºçäº length, å é»è¾ ä¸º ç. å®çåäº:

len <= length.

greater length

å¦æ æ¥æ ç é¿åº¦ å¤§äºçäº length, å é»è¾ ä¸º ç. å®çåäº:

len >= length.

ip proto protocol

å¦æ æ¥æ æ¯ IP æ°æ®æ¥(åè§ ip(4P)), å¶ åå®¹ ç åè®®ç±»å æ¯ protocol, å é»è¾ ä¸º ç. Protocol å¯ä»¥æ¯ æ°å, ä¹å¯ä»¥æ¯ ä¸å åç§° ä¸ç ä¸ä¸ª: icmp, igrp, udp, nd, æ tcp. æ³¨æ è¿äº æ è¯ç¬¦ tcp, udp, å icmp ä¹æ¯ å³é®å, æä»¥ å¿é¡» ç¨ åææ (\) è½¬ä¹, å¨ C-shell ä¸ åºè¯¥æ¯ \\ .

ether broadcast

å¦æ æ¥æ æ¯ ä»¥å¤ªå¹¿ææ¥æ, å é»è¾ ä¸º ç. å³é®å ether æ¯ å¯éç.

ip broadcast

å¦æ æ¥æ æ¯ IPå¹¿ææ¥æ, å é»è¾ ä¸º ç. Tcpdump æ£æ¥ å¨0 å å¨1 å¹¿æçº¦å®, å¹¶ä¸ æ£æ¥ æ¬å° ç åç½æ©ç .

ether multicast

å¦æ æ¥æ æ¯ ä»¥å¤ªå¤ç®ä¼ éæ¥æ(multicast), å é»è¾ ä¸º ç. å³é®å ether æ¯ å¯éç. è¿å®éä¸ æ¯ ‘ether[0] & 1 != 0’ çç®å.

ip multicast

å¦æ æ¥æ æ¯ IPå¤ç®ä¼ éæ¥æ, å é»è¾ ä¸º ç.

ether proto protocol

å¦æ æ¥æåè®® å±äº ä»¥å¤ªç±»å ç protocol, å é»è¾ ä¸º ç. Protocol å¯ä»¥æ¯ æ°å, ä¹å¯ä»¥æ¯ åå, å¦ ip, arp, æ rarp. æ³¨æ è¿äº æ è¯ç¬¦ ä¹æ¯ å³é®å, æä»¥ å¿é¡» ç¨ åææ (\) è½¬ä¹. [å¦ææ¯ FDDI (ä¾å¦, ‘fddi protocol arp’), åè®® æ è¯ æ¥èª 802.2 é»è¾é¾è·¯æ§å¶(LLC)æ¥å¤´, å® éå¸¸ ä½äº FDDI æ¥å¤´ ç é¡¶å±. å½ æ ¹æ® åè®®æ è¯ è¿æ»¤ æ¥æ æ¶, Tcpdump åè®¾ ææç FDDI æ¥æ å«æ LLC æ¥å¤´, èä¸ LLC æ¥å¤´ ç¨çæ¯ SNAP æ ¼å¼.]

decnet src host

å¦æ DECNET ç æºå°å æ¯ host, å é»è¾ ä¸º ç, è¯¥ ä¸»æºå°å ç å½¢å¼ å¯è½ æ¯ ‘‘10.123’’, æèæ¯ DECNET ä¸»æºå. [åªæ éç½®æ è¿è¡ DECNET ç Ultrix ç³»ç» æ¯æ DECNET ä¸»æºå.]

decnet dst host

å¦æ DECNET ç ç®çå°å æ¯ host, å é»è¾ ä¸º ç.

decnet host host

å¦æ DECNET ç æºå°å æ ç®çå°å æ¯ host, å é»è¾ ä¸º ç.

ip, arp, rarp, decnet

æ¯:

ether proto p

ç ç®å å½¢å¼, å¶ä¸ p ä¸º ä¸è¿° åè®® ç ä¸ç§.

lat, moprc, mopdl

æ¯:

ether proto p

ç ç®å å½¢å¼, å¶ä¸ p ä¸º ä¸è¿° åè®® ç ä¸ç§. æ³¨æ tcpdump ç®å ä¸ç¥é å¦ä½ åæ è¿äº åè®®.

tcp, udp, icmp

æ¯:

ip proto p

ç ç®å å½¢å¼, å¶ä¸ p ä¸º ä¸è¿° åè®® ç ä¸ç§.

expr relop expr

å¦æ è¿ä¸ª å³ç³»å¼ æç«, å é»è¾ ä¸º ç, å¶ä¸ relop æ¯ >, <, >=, <=, =, != ä¹ä¸, expr æ¯ æ°å¦è¡¨è¾¾å¼, ç± å¸¸æ´æ°(æ åCè¯æ³å½¢å¼), æ®éç äºè¿å¶è¿ç®ç¬¦ [+, -, *, /, &, |], ä¸ä¸ª é¿åº¦è¿ç®ç¬¦, å æå®ç æ¥ææ°æ®è®¿é®ç®ç¬¦ ç»æ. è¦ è®¿é® æ¥æå ç æ°æ®, ä½¿ç¨ ä¸é¢ç è¯æ³:

proto [ expr : size ]

Proto æ¯ ether, fddi, ip, arp, rarp, tcp, udp, or icmp ä¹ä¸, åæ¶ ä¹æåºäº ä¸æ æä½ ç åè®®å±. expr ç»åº åèåä½ ç åç§»é, è¯¥ åç§»é ç¸å¯¹äº æå®ç åè®®å±. Size æ¯ å¯éé¡¹, æåº æå´è¶£ç åèæ°; å®å¯ä»¥ æ¯ 1, 2, 4, ç¼ºçä¸º 1 åè. ç± å³é®å len ç»åºç é¿åº¦è¿ç®ç¬¦ ææ æ¥æ ç é¿åº¦.

ä¾å¦, ‘ether[0] & 1 != 0’ ææ ææç å¤ç®ä¼ é æ¥æ. è¡¨è¾¾å¼ ‘ip[0] & 0xf != 5’ ææ ææ å¸¦ å¯éå ç IP æ¥æ. è¡¨è¾¾å¼ ‘ip[6:2] & 0x1fff = 0’ åªææ æªåç å çåç§»ä¸º0 ç æ°æ®æ¥. è¿ç§ æ£æ¥ éå«å¨ tcp å udp ä¸æ æä½ ä¸. ä¾å¦, tcp[0] ä¸å®æ¯ TCP æ¥å¤´ ç ç¬¬ä¸ä¸ª åè, èä¸æ¯ å¶ä¸ æä¸ª IPç ç ç¬¬ä¸ä¸ª åè.

åè¯ å¯ä»¥ ç¨ ä¸è¿° æ¹æ³ ç»åä½¿ç¨:

ååæä½ (‘!’ or ‘not’).

è¿ç»æä½ (‘&&’ or ‘and’).

ææä½ (‘||’ or ‘or’).

not host vs and ace

ä½ä¸º

not host vs and host ace

ç ç®åå½¢å¼, ä¸åºè¯¥ å

not ( host vs or ace )

æ··æ·.

è¡¨è¾¾å¼åæ° å¯ä»¥ ä½ä¸º åä¸ª åæ°, ä¹å¯ä»¥ ä½ä¸º å¤ååæ° ä¼ ç» tcpdump, åè æ´æ¹ä¾¿ ä¸äº. ä¸è¬è¯´æ¥, å¦æ è¡¨è¾¾å¼ åå« Shell åå- ç¬¦(metacharacter), ä¼ é åä¸ª æ¬èµ·æ¥ ç åæ° è¦ å®¹æ ä¸äº. å¤ååæ° å¨ è¢«è§£æå ç¨ ç©ºæ ¼ èæ¥ ä¸èµ·.

ç¤ºä¾ (EXAMPLES)

æ¾ç¤º ææ è¿åº sundown ç æ¥æ:

tcpdump host sundown

æ¾ç¤º helios å ä¸»æº hot, ace ä¹é´ ç æ¥æ ä¼ é:

tcpdump host helios and \( hot or ace \)

æ¾ç¤º ace å é¤äº helios ä»¥å¤ç ææ ä¸»æº ç IPæ¥æ:

tcpdump ip host ace and not helios

tcpdump net ucb-ether

æ¾ç¤º ææ éè¿ ç½å³ snup ç ftp æ¥æ (æ³¨æ è¿ä¸ª è¡¨è¾¾å¼ è¢« åå¼å· æ¬èµ·, é²æ¢ shell è§£é åæ¬å¼§):

tcpdump ’gateway snup and (port ftp or ftp-data)’

tcpdump ip and not net localnet

tcpdump ’tcp[13] & 3 != 0 and not src and dst net localnet’

æ¾ç¤º ç»è¿ ç½å³ snup ä¸ å¤§äº 576 åèç IP æ°æ®æ¥:

tcpdump ’gateway snup and ip[2:2] > 576’

tcpdump ’ether[0] & 1 = 0 and ip[16] >= 224’

æ¾ç¤º ææ ä¸æ¯ ååè¯·æ±/åºç ç ICMP æ¥æ (ä¹å°±æ¯è¯´, ä¸æ¯ ping æ¥æ):

tcpdump ’icmp[0] != 8 and icmp[0] != 0"

è¾åºæ ¼å¼ (OUTPUT FORMAT)

tcpdump ç è¾åºæ ¼å¼ åå³äº åè®®. ä¸é¢ç æè¿° ç»åº å¤§å¤æ° æ ¼å¼ ç ç®è¦è¯´æ å èä¾.

é¾è·¯å±æ¥å¤´ (Link Level Headers)

å¦æ ç»åº ’-e’ éé¡¹ å°± æ¾ç¤º é¾è·¯å±æ¥å¤´.

å¨ FDDI ç½ç»ä¸, ’-e’ éé¡¹ å¯¼è´ tcpdump æ¾ç¤ºåº ‘å¸§æ§å¶(frame control)’ å, æºç®å°å å æ¥æé¿åº¦. (‘å¸§æ§å¶’ å è´è´£ è§£é å¶ä½ç æ¥æ. æ®éæ¥æ (ä¾å¦ è£è½½ IPæ°æ®æ¥ ç æ¥æ) æ¯ ‘å¼æ¥’ æ¥æ, ä¼åçº§ ä»äº 0 å° 7 (ä¾å¦, ‘async4’). é£äº è¢«è®¤ä¸º æºå¸¦äº 802.2 é»è¾é¾è·¯æ§å¶(LLC) æ¥æ; å¦æ å®ä»¬ ä¸æ¯ ISO æ°æ®æ¥ æè æè°ç SNAP æ¥æ, å°±æ¾ç¤º LLC æ¥å¤´.

(æ³¨æ: ä»¥ä¸ æè¿°ä¸ åè®¾ ä½ çæ RFC-1144 ä¸è¯´æç SLIP åç¼©ç®æ³.)

å¨ SLIP é¾è·¯ä¸, tcpdump æ¾ç¤ºåº æ¹åæç¤º (‘‘I’’ æ inbound(è¿å¥), ‘‘O’’ æ outbound(ç¦»å¼)), æ¥æç±»å å åç¼©ä¿¡æ¯. é¦åæ¾ç¤ºç æ¯ æ¥æç±»å. æä¸ç§ ç±»å ip, utcp å ctcp. å¯¹äº ip æ¥æ ä¸å æ¾ç¤º æ´å¤ç é¾è·¯ä¿¡æ¯. å¯¹äº TCP æ¥æ, å¨ ç±»å åé¢ æ¾ç¤º è¿æ¥æ è¯. å¦æ æ¥æ æ¯ åç¼©è¿ç, å°±æ¾ç¤ºåº å®ç ç¼ç æ¥å¤´. è¿ç§ ç¹æ®æåµ ä»¥ *S+n å *SA+n ç å½¢å¼ æ¾ç¤º, è¿éç n æ¯ æµåºå· (æè æµåºå· å ack) ç ååæ»é. å¦æ ä¸æ¯ ç¹æ®æåµ, å°±æ¾ç¤ºåº 0 æ å¤ä¸ª åå. åå ç± U (urgent pointer), W (window), A (ack), S (sequence number) å I (packet ID) ææ, åè· ä¸ä¸ª ååé(+n or -n), æè æ¯ä¸ä¸ª æ°å¼(=n). æåæ¾ç¤º æ¥æä¸ ç æ°æ®æ»é, ä»¥å åç¼©æ¥å¤´ ç é¿åº¦.

ä¾å¦, ä¸é¢ä¸è¡ æ¾ç¤ºäº ä¸ä¸ª ä¼ åºç åç¼©ç TCP æ¥æ, æä¸ä¸ª éå«ç è¿æ¥æ è¯; ç¡®è®¤(ack)ç ååéæ¯ 6, æµåºå· å¢å 49, æ¥æID å¢å 6; æä¸ä¸ªå- èçæ°æ® å åä¸ªåè ç åç¼©æ¥å¤´:

O ctcp * A+6 S+49 I+6 3 (6)

ARP/RARP æ¥æ

Arp/rarp æ¥æ ç è¾åº æ¯ è¯·æ±ç±»å åå¶ åæ°. è¾åºæ ¼å¼ å¤§ä½ä¸ è½å¤ èªæè§£é. è¿é æ¯ä¸ä¸ª ç®åçä¾å, æ¥èª ä¸»æº rtsg å° ä¸»æº csam ç ’rlogin’ å¼å§ é¨å:

arp who-has csam tell rtsg
arp reply csam is-at CSAM

ç¬¬ä¸è¡ è¯´æ rtsg ååº ä¸ä¸ª arp æ¥æ è¯¢é® internet ä¸»æº csam ç ä»¥å¤ªç½å°å. Csam ç¨ å®ç ä»¥å¤ªå°å ä½åºç (è¿ä¸ªä¾åä¸, ä»¥å¤ªå°å æ¯ å¤§åç, internet å°å ä¸º å°å).

å¦æ ç¨ tcpdump -n ç å°± æ¸æ¥ä¸äº:

arp who-has 128.3.254.6 tell 128.3.254.68
arp reply 128.3.254.6 is-at 02:07:01:00:01:c4

å¦æ ç¨ tcpdump -e, å¯ä»¥ çå° å®éä¸ ç¬¬ä¸ä¸ª æ¥æ æ¯ å¹¿æ, ç¬¬äºä¸ª æ¥æ æ¯ ç¹å°ç¹ ç:

RTSG Broadcast 0806 64: arp who-has csam tell rtsg
CSAM RTSG 0806 64: arp reply csam is-at CSAM

è¿é ç¬¬ä¸ä¸ª æ¥æ æåº ä»¥å¤ªç½æºå°åæ¯ RTSG, ç®çå°å æ¯ ä»¥å¤ªç½å¹¿æå°å, ç±»åå ä¸º 16è¿å¶æ° 0806 (ç±»å ETHER_ARP), æ¥æå¨é¿ 64 åè.

TCP æ¥æ

(æ³¨æ: ä»¥ä¸çæè¿°ä¸ åè®¾ ä½ çæ RFC-793 ä¸ è¯´æç TCP åè®®, å¦æ ä½ ä¸äºè§£ è¿ä¸ª åè®®, æ è®ºæ¯ æ¬æ è¿æ¯ tcpdump é½å¯¹ä½ ç¨å¤ ä¸å¤§)

ä¸è¬è¯´æ¥ tcp åè®®ç è¾åºæ ¼å¼æ¯:

src > dst: flags data-seqno ack window urgent options

Src å dst æ¯ æºç®IPå°ååç«¯å£. Flags æ¯ S (SYN), F (FIN), P (PUSH) æ R (RST) æ åç¬ç ‘.’(æ æ å¿), æèæ¯ å®ä»¬ç ç»å. Data-seqno è¯´æäº æ¬æ¥æä¸- çæ°æ® å¨ æµåºå· ä¸ç ä½ç½® (è§ä¸ä¾). Ack æ¯ å¨è¿æ¡è¿æ¥ä¸ ä¿¡æºæº å¸æ ä¸ä¸ä¸ª æ¥æ¶ç åèç æµåºå· (sequence number). Window æ¯ å¨è¿æ¡è¿æ¥ä¸ ä¿¡æºæº æ¥æ¶ç¼å²åº ç åèå¤§å°. Urg è¡¨æ æ¥æå æ¯ ‘ç´§æ¥(urgent)’ æ°æ®. Options æ¯ tcp éé¡¹, ç¨ å°æ¬å· æ¬èµ· (ä¾å¦, <mss 1024>).

Src, dst å flags è¯å® åå¨. å¶ä»å ä¾æ® æ¥æç tcp æ¥å¤´ åå®¹, åªè¾åº æå¿è¦ ç é¨å.

ä¸é¢ æ¯ ä» ä¸»æº rtsg rlogin å° ä¸»æº csam ç å¼å§é¨å.

rtsg.1023 > csam.login: S 768512:768512(0) win 4096 <mss 1024>
csam.login > rtsg.1023: S 947648:947648(0) ack 768513 win 4096 <mss 1024>
rtsg.1023 > csam.login: . ack 1 win 4096
rtsg.1023 > csam.login: P 1:2(1) ack 1 win 4096
csam.login > rtsg.1023: . ack 2 win 4096
rtsg.1023 > csam.login: P 2:21(19) ack 1 win 4096
csam.login > rtsg.1023: P 1:2(1) ack 21 win 4077
csam.login > rtsg.1023: P 2:3(1) ack 21 win 4077 urg 1
csam.login > rtsg.1023: P 3:4(1) ack 21 win 4077 urg 1

ç¬¬ä¸è¡ æ¯è¯´ ä» rtsg ç tcp ç«¯å£ 1023 å csam ç login ç«¯å£ åé æ¥æ. S æ å¿ è¡¨æ è®¾ç½®äº SYN æ å¿. æ¥æ ç æµåºå· æ¯ 768512, æ²¡æ æ°æ®. (è¿ä¸ªåæ ‘first:last(nbytes)’, æææ¯ ‘ä» æµåºå· first å° last, ä¸åæ¬ last, æ nbytes åèç ç¨æ·æ°æ®’.) æ¤æ¶ æ²¡æ æå¸¦ç¡®è®¤(piggy-backed ack), ææç æ¥æ¶çªå£ æ¯ 4096 åè, æä¸ä¸ª æå¤§åæ®µé¿åº¦(max-segment-size) ç éé¡¹, è¯·æ± è®¾ç½® mss ä¸º 1024 åè.

å¨ ç¬¬åè¡, rtsg ä¼ ç» csam 19 ä¸ªåè ç æ°æ® (åè 2 å° 20). æ¥æä¸ è®¾ç½®äº PUSH æ å¿. ç¬¬ä¸è¡ csam è¡¨æ å® æ¶å°äº rtsg ç æ°æ®, åèåºå· æ¯ 21, ä½ä¸åæ¬ ç¬¬21ä¸ª åè. æ¾ç¶ å¤§å¤æ° æ°æ® å¨ socket ç ç¼å²åºå, å ä¸º csam ç æ¥æ¶çªå£ æ¶å°ç æ°æ® å°äº 19 ä¸ª åè. åæ¶ csam å rtsg åéäº ä¸ä¸ªåè ç æ°æ®. ç¬¬å«åç¬¬ä¹è¡ æ¾ç¤º csam åéäº ä¸¤ä¸ªåè ç ç´§æ¥æ°æ® å° rtsg.

å¦æ ææåº è®¾ç½®ç è¿å°, ä»¥è³äº tcpdump ä¸è½ ææå° å®æ´ç TCP æ¥å¤´, tcpdump ä¼ å°½å¯è½ç ç¿»è¯ å·²æè·ç é¨å, ç¶å æ¾ç¤º ‘‘[|tcp]’’, è¡¨æ æ æ³ ç¿»è¯ å¶ä½ é¨å. å¦æ æ¥å¤´ åå« æé®é¢ç éé¡¹ (éé¡¹è¡¨ é¿åº¦ å¤ªå° æè è¶åº æ¥å¤´èå´), tcpdump æ¾ç¤º ‘‘[bad opt]’’ å¹¶ä¸ ä¸å ç¿»è¯ å¶ä» éé¡¹é¨å (å ä¸º å® ä¸å¯è½ å¤æåº ä»åªå¿ å¼å§). å¦æ æ¥å¤´é¿åº¦ è¡¨æ åå¨ éé¡¹, ä½æ¯ IP æ°æ®æ¥ é¿åº¦ ä¸å¤, ä¸å¯è½ çç ä¿å éé¡¹, tcpdump å°±æ¾ç¤º ‘‘[bad hdr length]’’.

UDP æ¥æ

UDP æ ¼å¼ å°±è±¡ è¿ä¸ª rwho æ¥æ æ¾ç¤ºç:

actinide.who > broadcast.who: udp 84

å°±æ¯è¯´ æä¸ä¸ª udp æ°æ®æ¥ ä» ä¸»æº actinide ç who ç«¯å£ åéå° broadcast, Internet å¹¿æå°å ç who ç«¯å£. æ¥æ åå« 84åè ç ç¨æ·æ°æ®.

æäº UDP æå¡ è½å¤ è¯å«åºæ¥(ä» æºç®ç«¯å£å· ä¸), å è æ¾ç¤ºåº æ´é«å±ç åè®®ä¿¡æ¯. ç¹å«æ¯ ååæå¡è¯·æ±(RFC-1034/1035) å NFS ç RPC è°ç¨(RFC-1050).

UDP ååæå¡è¯·æ± (Name Server Requests)

ååæå¡è¯·æ± ç æ ¼å¼ æ¯

src > dst: id op? flags qtype qclass name (len)
h2opolo.1538 > helios.domain: 3+ A? ucbvax.berkeley.edu. (37)

ä¸»æº h2opolo è®¿é® helios ä¸ç ååæå¡, è¯¢é® å ucbvax.berkeley.edu. å³èç å°åè®°å½(qtype=A). æ¥è¯¢å·æ¯ ‘3’. ‘+’ è¡¨æ è®¾ç½®äº éå½è¯·æ± æ å¿. æ¥è¯¢é¿åº¦æ¯ 37 åè, ä¸åæ¬ UDP å IP å¤´. æ¥è¯¢æä½ æ¯ æ®éç Query æä½, å æ¤ op å å¯ä»¥ å¿½ç¥. å¦æ op è®¾ç½®æ å¶ä»ä»ä¹ä¸è¥¿, å®åºè¯¥ æ¾ç¤ºå¨ ‘3’ å ‘+’ ä¹é´. ç±»ä¼¼ç, qclass æ¯ æ®éç C_IN ç±»å, ä¹è¢« å¿½ç¥äº. å¶ä»ç±»åç qclass åºè¯¥ å¨ ‘A’ åé¢ æ¾ç¤º.

Tcpdump ä¼æ£æ¥ ä¸äº ä¸è§å æåµ, ç¸åºç ç»æ ä½ä¸º è¡¥åå æ¾å¨ æ¹æ¬å·å: å¦æ æä¸ª æ¥è¯¢ åå« åç, ååæå¡ æ ç®¡çæºæé¨å, å°±æ ancount, nscount, æ arcount æ¾ç¤ºæ ‘[na]’, ‘[nn]’ æ ‘[nau]’, è¿éç n ä»£è¡¨ ç¸åºç æ°é. å¦æ å¨ ç¬¬äºåç¬¬ä¸åè ä¸, ä»»ä½ä¸ä¸ª åçä½(AA, RA æ rcode) æ ä»»ä½ä¸ä¸ª ‘å¿é¡»ä¸ºé¶’ çä½ è¢« ç½®ä½, å°±æ¾ç¤º ‘[b2&3=x]’, è¿éç x æ¯ æ¥å¤´ ç¬¬äºåç¬¬ä¸åè ç 16è¿å¶æ°.

UDP ååæå¡åç

ååæå¡åçç æ ¼å¼ æ¯

src > dst: id op rcode flags a/n/au type class data (len)
helios.domain > h2opolo.1538: 3 3/3/7 A 128.32.137.3 (273)
helios.domain > h2opolo.1537: 2 NXDomain* 0/1/0 (97)

ç¬¬ä¸ä¸ªä¾åé, helios åçäº h2opolo ååºç æ è¯ä¸º3 ç è¯¢é®, ä¸å±æ¯ 3 ä¸ª åçè®°å½, 3 ä¸ª ååæå¡è®°å½ å 7 ä¸ªç®¡çç»æè®°å½. ç¬¬ä¸ä¸ª åççºªå½ ç ç±»åæ¯ A (å°å), æ°æ®æ¯ internet å°å 128.32.137.3. åçç å¨é¿ ä¸º 273 åè, ä¸åæ¬ UDP å IP æ¥å¤´. ä½ä¸º A è®°å½ç class(C_IN) å¯ä»¥ å¿½ç¥ op (è¯¢é®) å rcode (NoError).

å¨ç¬¬äºä¸ªä¾åé, helios å¯¹ æ è¯ä¸º2 ç è¯¢é® ä½åº ååä¸åå¨ (NXDomain) ç åç, æ²¡æ åçè®°å½, ä¸ä¸ª ååæå¡è®°å½, æ²¡æ ç®¡çç»æé¨å.
‘*’ è¡¨æ è®¾ç½®äº æå¨åç(authoritative answer). ç±äº æ²¡æ åçè®°å½, è¿éå°± ä¸æ¾ç¤º type, class å data.

å¶ä» æ å¿ åç¬¦ å¯ä»¥ æ¾ç¤ºä¸º ‘-’ (æ²¡æè®¾ç½®éå½ææ(RA)) å ‘|’ (è®¾ç½® æ¶æ¯æªç(TC)). å¦æ ‘é®é¢’ é¨å æ²¡æ ææç åå®¹, å°± æ¾ç¤º ‘[nq]’.

æ³¨æ ååæå¡ç è¯¢é®ååç ä¸è¬è¯´æ¥ æ¯è¾å¤§, 68 åèç snaplen å¯è½ æ æ³ ææå° è¶³å¤ç æ¥æåå®¹. å¦æ ä½ çç¡® å¨ ç ç©¶ ååæå¡ ç æåµ, å¯ä»¥ ä½¿ç¨ -s éé¡¹ å¢å¤§ ææç¼å²åº. ‘-s 128’ åºè¯¥ ææ ä¸éäº.

NFS è¯·æ±åååº

Sun NFS (ç½ç»æä»¶ç³»ç») ç è¯·æ±åååº æ¾ç¤ºæ ¼å¼ æ¯:

src.xid > dst.nfs: len op args
src.nfs > dst.xid: reply stat len op results
sushi.6709 > wrl.nfs: 112 readlink fh 21,24/10.73165
wrl.nfs > sushi.6709: reply ok 40 readlink "../var"
sushi.201b > wrl.nfs:
144 lookup fh 9,74/4096.6878 "xcolors"
wrl.nfs > sushi.201b:
reply ok 128 lookup fh 9,74/4134.3150

å¨ç¬¬ä¸è¡, ä¸»æº sushi å wrl åé å·ç ä¸º 6709 ç äº¤äºä¼è¯ (æ³¨æ æºä¸»æº åé¢ç æ°å æ¯ äº¤äºå·, ä¸æ¯ ç«¯å£). è¿é¡¹è¯·æ± é¿ 112 åè, ä¸åæ¬ UDP å IP æ¥å¤´. å¨ æä»¶å¥æ (fh) 21,24/10.731657119 ä¸æ§è¡ readlink (è¯»å ç¬¦å·è¿æ¥) æä½. (å¦æ è¿æ° ä¸é, å°±è±¡ è¿ç§æåµ, æä»¶å¥æ å¯ä»¥ ä¾æ¬¡ç¿»è¯æ ä¸»æ¬¡è®¾å¤å·, i èç¹å·, å äºä»¶å·(generation number). ) Wrl åç ‘ok’ å è¿æ¥ç åå®¹.

å¨ç¬¬ä¸è¡, sushi è¯·æ± wrl å¨ ç®å½æä»¶ 9,74/4096.6878 ä¸ æ¥æ¾ ‘xcolors’. æ³¨æ æ°æ®ç æå°æ ¼å¼ åå³äº æä½ç±»å. æ ¼å¼ åºè¯¥ å¯ä»¥ èªæè¯´æ.

ç»åº -v (verbose) éé¡¹ å¯ä»¥ æ¾ç¤º éå ä¿¡æ¯. ä¾å¦:

sushi.1372a > wrl.nfs:
148 read fh 21,11/12.195 8192 bytes @ 24576
wrl.nfs > sushi.1372a:
reply ok 1472 read REG 100664 ids 417/0 sz 29388

(-v åæ¶ ä½¿å® æ¾ç¤º IP æ¥å¤´ç TTL, ID, å åçå, å¨ è¿ä¸ªä¾åé æå®ä»¬ çç¥äº.) å¨ç¬¬ä¸è¡, sushi è¯·æ± wrl ä» æä»¶ 21,11/12.195 ç åç§»ä½ç½® 24576 å¼å§, è¯»å 8192 åè. Wrl åç ‘ok’; ç¬¬äºè¡ æ¾ç¤ºç æ¥æ æ¯ åºçç ç¬¬ä¸ä¸ª åç, å æ¤ åªæ 1472 åè (å¶ä½æ°æ® å¨ åç»ç åçä¸ ä¼ è¿æ¥, ä½ç±äº è¿äºåçé æ²¡æ NFS çè³ UDP æ¥å¤´, å æ¤ æ ¹æ® æä½¿ç¨ç è¿æ»¤å¨è¡¨è¾¾å¼, æå¯è½ ä¸åæ¾ç¤º). -v éé¡¹ è¿ä¼ æ¾ç¤º ä¸äº æä»¶å±æ§ (å®ä»¬ ä½ä¸º æä»¶æ°æ® ç éå¸¦é¨å ä¼ åæ¥): æä»¶ç±»å (æ®éæä»¶ ‘‘REG’’), ååæ¨¡å¼ (å«è¿å¶æ°), uid å gid, ä»¥å æä»¶å¤§å°.

å¦æåç»ä¸ä¸ª -v éé¡¹ (-vv), è¿è½ æ¾ç¤º æ´å¤çç»è.

æ³¨æ NFS è¯·æ± ç æ°æ®é éå¸¸å¤§, é¤é å¢å snaplen, å¦å å¾å¤ç»è æ æ³æ¾ç¤º. è¯ä¸è¯ ‘-s 192’ éé¡¹.

NFS åºçæ¥æ æ²¡ææç¡® æ æ RPC æä½. å æ¤ tcpdump ä¿çæ ‘‘è¿æ¥ç’’ è¯·æ± è®°å½, æ ¹æ® äº¤äºå· å¹é åºçæ¥æ. å¦æ åºçæ¥æ æ²¡æ ç¸åºç è¯·æ±æ¥æ, å® å°± æ æ³åæ.

KIP Appletalk (UDP ä¸ç DDP)

Appletalk DDP æ¥æ å°è£å¨ UDP æ°æ®æ¥ ä¸, è§£åå æ DDP æ¥æ è½¬å¨ (ä¹å°±æ¯è¯´, å¿½ç¥ ææç UDP æ¥å¤´ ä¿¡æ¯). æä»¶ /etc/atalk.names ç¨æ¥ æ appletalk ç½ç»åèç¹å· ç¿»è¯æ åå. è¿ä¸ªæä»¶ ç è¡æ ¼å¼ æ¯

number name

1.254 ether
16.1 icsd-net
1.254.110 ace

åä¸¤è¡ ç»åºäº appletalk ç ç½ç»åç§°. ç¬¬ä¸è¡ ç»åº æä¸ªä¸»æº ç åå (ä¸»æºåç½ç» ä¾æ® ç¬¬ä¸ç» æ°å åºå - ç½ç»å· ä¸å® æ¯ ä¸¤ç»æ°å, ä¸»æºå· ä¸å® æ¯ ä¸ç» æ°å.) å·ç å åå ç¨ ç©ºç½ç¬¦(ç©ºæ ¼ætab) éå¼. /etc/atalk.names æä»¶ å¯ä»¥ åå« ç©ºè¡ æ æ³¨éè¡(ä»¥‘#’å¼å§çè¡).

Appletalk å°å æ è¿ä¸ªæ ¼å¼ æ¾ç¤º

net.host.port

144.1.209.2 > icsd-net.112.220
office.2 > icsd-net.112.220
jssmag.149.235 > icsd-net.2

(å¦æ ä¸åå¨ /etc/atalk.names , æè éé¢ ç¼ºå° ææé¡¹ç®, å°±ä»¥ æ°åå½¢å¼ æ¾ç¤º å°å.) ç¬¬ä¸ä¸ªä¾åé, ç½ç» 144.1 ç 209 èç¹ç NBP (DDP ç«¯å£ 2) å ç½ç» icsd ç 112 èç¹ ç 220 ç«¯å£ åéæ°æ®. ç¬¬äºè¡ å ä¸é¢ ä¸æ ·, åªæ¯ ç¥éäº æºèç¹ ç å¨ç§° (‘office’). ç¬¬ä¸è¡ æ¯ä» ç½ç» jssmag ç 149 èç¹ ç 235 ç«¯å£ å icsd-net ç NBP ç«¯å£ å¹¿æ (æ³¨æ å¹¿æå°å (255) éå«å¨ æ ä¸»æºå·ç ç½ç»åå ä¸ - æä»¥ å¨ /etc/atalk.names ä¸ åºå èç¹å å ç½ç»å æ¯ä¸ª å¥½ä¸»æ).

Tcpdump å¯ä»¥ ç¿»è¯ NBP (ååèç»åè®®) å ATP (Appletalk äº¤äºåè®®) ç æ¥æ åå®¹. å¶ä»åè®® åªè½¬å¨ åè®®åç§° (æå·ç , å¦æ è¿ æ²¡ç» è¿ä¸ªåè®® æ³¨å åç§°) å æ¥æå¤§å°.

NBP æ¥æ ç è¾åºæ ¼å¼ å°±è±¡ ä¸é¢ç ä¾å:

icsd-net.112.220 > jssmag.2: nbp-lkup 190: "=:LaserWriter@*"
jssmag.209.2 > icsd-net.112.220: nbp-reply 190: "RM1140:LaserWriter@*" 250
techpit.2 > icsd-net.112.220: nbp-reply 190: "techpit:LaserWriter@*" 186

ç¬¬ä¸è¡ æ¯ ç½ç» icsd ç 112 ä¸»æº å¨ ç½ç» jssmag ä¸ç å¹¿æ, å¯¹ åå laserwriter å ååæ¥è¯¢è¯·æ±. ååæ¥è¯¢è¯·æ± ç nbp æ è¯å· æ¯ 190. ç¬¬äºè¡ æ¾ç¤ºçæ¯ å¯¹ è¿ä¸ªè¯·æ± ç åç (æ³¨æ å®ä»¬ æ åæ ·ç æ è¯å·), ä¸»æº jssmag.209 è¡¨ç¤º å¨å®ç 250 ç«¯å£ æ³¨åäº ä¸ä¸ª laserwriter ç èµæº, ååæ¯ "RM1140". ç¬¬ä¸è¡ æ¯ è¿ä¸ªè¯·æ± ç å¶ä»åç, ä¸»æº techpit ç 186 ç«¯å£ æ laserwriter æ³¨åç "techpit".

ATP æ¥æ æ ¼å¼ å¦ ä¸ä¾ æç¤º:

jssmag.209.165 > helios.132: atp-req 12266<0-7> 0xae030001
helios.132 > jssmag.209.165: atp-resp 12266:0 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:1 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:2 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:3 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:4 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:5 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:6 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp*12266:7 (512) 0xae040000
jssmag.209.165 > helios.132: atp-req 12266<3,5> 0xae030001
helios.132 > jssmag.209.165: atp-resp 12266:3 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:5 (512) 0xae040000
jssmag.209.165 > helios.132: atp-rel 12266<0-7> 0xae030001
jssmag.209.133 > helios.132: atp-req* 12267<0-7> 0xae030002

Jssmag.209 å ä¸»æº helios åèµ· 12266 å· äº¤äºæä½, è¯·æ± 8 ä¸ª æ¥æ(‘<0-7>’). è¡å°¾ç ååè¿å¶æ° æ¯ è¯·æ±ä¸ ‘userdata’ å ç å¼.

Helios ç¨ 8 ä¸ª 512åè ç æ¥æ åºç. è·å¨ äº¤äºå· åé¢ç ‘:digit’ ç»åºäº äº¤äºè¿ç¨ä¸ æ¥æç åºåå·, æ¬å¼§åç æ°å æ¯ æ¥æç æ°æ®é, ä¸åæ¬ atp æ¥å¤´. æ¥æ 7 ç ‘*’ è¡¨æ è®¾ç½®äº EOM ä½.

ç¶å Jssmag.209 è¯·æ± éä¼ ç¬¬ 3 & 5 æ¥æ. Helios åäº éä¼ å jssmag.209 ç»æ è¿æ¬¡ äº¤äºæä½. æå, jssmag.209 åèµ· ä¸ä¸æ¬¡ äº¤äºè¯·æ±. è¯·æ±ä¸ç ‘*’ è¡¨æ æ²¡æ è®¾ç½® XO (exactly once) ä½.

IP åç

åçç Internet æ°æ®æ¥ æ¾ç¤ºä¸º

(frag id:size@offset+)
(frag id:size@offset)

Id æ¯ åç æ è¯å·. Size æ¯ åç å¤§å° (åè), ä¸åæ¬ IP æ¥å¤´. Offset æ¯ è¯¥åç å¨ åæ°æ®æ¥ ä¸ ç åç§» (åä½æ¯åè).

æ¯ä¸ä¸ª åç ç ä¿¡æ¯ é½å¯ä»¥ æå°åºæ¥. ç¬¬ä¸ä¸ª åç åå«äº é«å± åè®® æ¥å¤´, æ¾ç¤º åè®®ä¿¡æ¯ å æ¾ç¤º åç ç ä¿¡æ¯. ç¬¬ä¸ä¸ª åç ä»¥åç åç ä¸å å«æ é«å±åè®® æ¥å¤´, æä»¥ å¨ æºç®å°å åé¢ åªæ¾ç¤º åç ä¿¡æ¯. ä¾å¦, ä¸é¢æ¯ ä» arizona.edu å° lbl-rtsg.arpa ç ä¸é¨å ftp ä¼ è¾, éç»ç CSNET çä¸å» å¤çä¸äº 576 åèç æ°æ®æ¥:

arizona.ftp-data > rtsg.1170: . 1024:1332(308) ack 1 win 4096 (frag 595a:328@0+)
arizona > rtsg: (frag 595a:204@328)
rtsg.1170 > arizona.ftp-data: . ack 1536 win 2560

å¦æ æ¥æç IP æ æ ä¸è¦åç æ å¿, é£ä¹ å¨å°¾é¨ æ¾ç¤º (DF).

æ¶æ³

hh:mm:ss.frac

ç²¾åº¦ å åæ ¸æ¶é ä¸æ ·. æ¶æ³ åæ äº åæ ¸ æ¶å° æ¥æ ç æ¶é´. ä» ä»¥å¤ªæ¥å£ æ¶å° æ¥æ å° åæ ¸ ååº ’æ¥æå°±ç»ª’ ä¸æ æä¸ä¸ª æ»å, è¯¥ æ»å ä¸è¢«èè.

å¦è§ (SEE ALSO)

traffic(1C), nit(4P), bpf(4), pcap(3)

ä½è (AUTHORS)

Van Jacobson, Craig Leres and Steven McCanne, all of the Lawrence Berkeley National Laboratory, University of California, Berkeley, CA.

å½å çæ¬ å¯ä»¥ ä» å¿åftp è·å¾:

ftp://ftp.ee.lbl.gov/tcpdump.tar.Z

BUGS

è¯·æ èè« æ¥å ä¼ å¾ tcpdump@ee.lbl.gov.

è¹æ Ethertalk DDP ç æ¥æ åºè¯¥ è±¡ KIP DDP ç æ¥æ ä¸æ · å®¹æ è½¬å¨, äºå® å´ ä¸æ¯ è¿æ ·. å³ä½¿ æä»¬ ææ ä½ç¹ä»ä¹ æ¥ ä¿é Ethertalk (æä»¬æ²¡æ), LBL ä¹ä¸åè®¸ Ethertalk åºç°å¨ å®ç ä»»ä½ç½ç»ä¸, æä»¥ æä»¬ æ²¡åæ³ æµè¯ è¿äºä»£ç .

æä½ FDDI æ¥å¤´ç è¿æ»¤å¨è¡¨è¾¾å¼ åè®¾ ææç FDDI æ¥æ è¢«å°è£å¨ ä»¥å¤ªæ¥æ ä¸. è¿å¯¹ IP, ARP å DECNET Phase IV æ çæ¯ æ£ç¡®ç, ä½å¯¹ æäº åè®® å¦ ISO CLNS ä¸æ£ç¡®. å æ¤, è¿æ»¤å¨ æå¯è½ä¼ ç³éç³æ¶ç ç æ¥æ¶ ä¸äº å¹¶ä¸çæ£ å¹é è¿æ»¤å¨è¡¨è¾¾å¼ ç æ¥æ.

[ä¸æçç»´æ¤äºº]

å¾æ <xuming@users.sourceforge.net>

[ä¸æçææ°æ´æ°]

2003/05/13

ãä¸å½Linuxè®ºåmanæåé¡µç¿»è¯è®¡åã

http://cmpp.linuxforum.net

è·

æ¬é¡µé¢ä¸æçç±ä¸æ man æåé¡µè®¡åæä¾ã
ä¸æ man æåé¡µè®¡åï¼https://github.com/man-pages-zh/manpages-zh

手册导航

man1

man2

man3

man4

man5

man6

man7

man8