CentOS Sniffer的网络流量分析方法

CentOS 下的 Sniffer 网络流量分析方法

一 工具选型与适用场景

• tcpdump：命令行抓包与分析，适合服务器环境、自动化脚本与快速定位问题。支持丰富的 BPF 过滤表达式，可将结果写入 pcap 文件供后续分析。
• Wireshark：图形化协议分析器，适合深度解码、会话重组与可视化排查，支持远程抓包与大量协议解析。
• tshark：Wireshark 的命令行版本，便于在终端进行批量分析与自动化处理。
• ngrep：基于正则表达式的内容匹配嗅探，适合快速查找 HTTP GET/POST、自定义字符串等。
• Go-Sniffer：按应用层协议快速抓包（如 Redis 6379、MySQL 3306），轻量便捷。
• MySQL Sniffer：专注 MySQL 协议，便于排查 SQL 交互与性能问题。
  以上工具在 CentOS/RHEL 上均可安装使用，覆盖从命令行到图形化的不同分析需求。

二 快速上手流程

• 安装常用工具（示例为 yum 系）：
  • sudo yum install -y tcpdump wireshark wireshark-cli ngrep
  • 如需应用层嗅探：sudo yum install -y libpcap-devel（为 Go-Sniffer 等提供依赖）
• 识别网卡名称：ip link（常见如 eth0、ens33 等）
• 实时抓取并保存到文件：sudo tcpdump -i eth0 -w capture.pcap
• 读取与分析抓包文件：tcpdump -r capture.pcap -nn -vv
• 图形化分析：将 capture.pcap 复制到本地，使用 Wireshark 打开进行协议解码与会话分析。

三 高效过滤与常用命令

• 只抓某接口：sudo tcpdump -i eth0
• 按主机/IP：sudo tcpdump -i eth0 host 192.168.1.10
• 按端口/协议：sudo tcpdump -i eth0 port 80 或 icmp
• 组合过滤：sudo tcpdump -i eth0 ‘tcp port 80 and host 192.168.1.10’
• 内容正则匹配：sudo ngrep -d eth0 ‘GET /’
• 仅抓取 N 个包：sudo tcpdump -i eth0 -c 100
• 命令行深度分析：tshark -r capture.pcap -Y “http.request.method == GET”
• 应用层快速嗅探：
  • Go-Sniffer：go-sniffer eth0 redis -p 6379
  • MySQL Sniffer：在构建目录执行 ./mysql-sniffer -c mysql-sniffer.conf
    以上过滤与命令覆盖常见排障场景，能显著减少无关流量、提升分析效率。

四 故障排查与分析思路

• 链路与连通性：先用 ICMP 与 TCP SYN 探测（如 tcpdump ‘icmp or (tcp[tcpflags] & tcp-syn != 0)’）确认是否可达、是否有丢包或过滤。
• 服务可用性：针对 HTTP/HTTPS/DNS/MySQL 等，过滤对应端口与请求方法，观察 SYN/ACK/RST 状态与响应码，定位握手失败、超时与重置原因。
• 性能与异常：关注 重传（TCP Retransmission）、重复 ACK、窗口大小变化、P95/P99 延迟抖动，结合应用日志验证是否为服务端处理瓶颈或网络拥塞。
• 取证与回放：将关键时段流量保存为 pcap，用 Wireshark 做会话重组、HTTP 流分析、DNS 查询追踪，必要时导出特定流用于复现。
• 合法性与风险控制：抓包涉及敏感数据，务必取得明确授权，避免在生产环境长时间全量抓取；对输出文件设置最小权限并妥善存储。

五 提升效率与注意事项

• 选对工具：命令行场景优先 tcpdump/tshark（性能与自动化），深度解码与可视化优先 Wireshark。
• 用好过滤器：在抓包端即使用 BPF/显示过滤器 精准筛选，减少捕获与分析的数据量。
• 开启混杂模式：在需要观察链路全量流量时启用（多数抓包工具会自动设置），以捕获经过接口的所有帧。
• 资源与性能：长时间抓包会占用 CPU/磁盘/内存，建议限制抓包时长或包数，必要时采用 远程抓包/采样 策略。
• 合法合规：嗅探仅限授权网络与资产，严禁用于未授权监听或数据泄露。
  以上做法可在保证准确性的同时，显著降低性能开销并提升问题定位效率。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！