Mobile-Menu

Die Verwendung von tcpdump für Netzwerkanalysen Das Aufzeichnen, Anzeigen und Analysieren von Netzwerkverkehr

Von Thomas Joos Lesedauer: 1 min |

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
Rosenberger-OSI GmbH & Co. OHG
FNT GmbH

„Tcpdump“ ist ein weit verbreitetes Tool zur Paketüberwachung, das in Linux, im Terminal läuft. Autor und Berater Thomas Joos zeigt in diesem Tipp, wie das Tool genutzt werden kann, zum Beispiel für das Troubleshooting.

„tcpdump“ ist ein ideales Tool, für die Netzwerkanalyse unter Linux
„tcpdump“ ist ein ideales Tool, für die Netzwerkanalyse unter Linux
(Bild: Thomas Joos)

Für eine einfache Paketüberwachung auf einer bestimmten Schnittstelle wie „eth0“ kann der folgende Befehl verwendet werden:

tcpdump -i eth0

tcpdump erlaubt die Filterung von Paketen anhand der IP-Adresse oder des Subnetzes. Um beispielsweise den Verkehr von oder zu einer bestimmten IP-Adresse zu beobachten:

tcpdump -i eth0 host 192.168.1.10

Filtern des Netzwerkverkehrs auf einen bestimmten Port, zum Beispiel Port 22 (SSH):

tcpdump -i eth0 port 22

Überwachung spezifischer Protokolle wie ICMP, TCP, UDP:

sudo tcpdump -i eth0 icmp

Erweiterte Einsatzmöglichkeiten von tcpdump

Das Überwachen von DNS-Anfragen kann wertvolle Informationen zur Identifikation von ungewöhnlichem Verhalten oder zur Performance-Analyse liefern.

tcpdump -i eth0 port 53

HTTP-Header können aufgezeichnet werden, um mehr über die HTTP-Anfragen und -Antworten zu erfahren, die im Netzwerk übertragen werden.

tcpdump -i eth0 -s 0 -A 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'

Für jede erfasste Paketzeile kann ein Zeitstempel hinzugefügt werden. Das ist nützlich für die zeitliche Analyse des Netzwerkverkehrs.

tcpdump -i eth0 -tttt

Es ist auch möglich, mehrere Schnittstellen gleichzeitig zu überwachen. Dies kann durch Angabe mehrerer -i Flags erreicht werden:

tcpdump -i eth0 -i eth1

Zur tiefgreifenden Analyse kann tcpdump den Netzwerkverkehr auch als Hexadezimal-Dump ausgeben:

tcpdump -i eth0 -xx

Es ist möglich, nur Pakete mit spezifischen TCP-Flags, wie SYN oder FIN, zu erfassen.

tcpdump “tcp[13] & 2 != 0“

Die Anzahl der zu erfassenden Pakete lässt sich mit der Option -c begrenzen:

tcpdump -i eth0 -c 50

Statistische Zusammenfassung

Nach Beendigung der tcpdump-Sitzung kann eine Zusammenfassung der Netzwerkstatistik angezeigt werden, wenn die Option -q verwendet wird:

tcpdump -q

Die Ausgabe von tcpdump kann leicht in Shell-Skripten weiterverarbeitet werden, zum Beispiel für automatisierte Analysen oder Benachrichtigungen.

tcpdump -i eth0 port 22 | awk '/pattern/{system("some_command")}'

(ID:49750127)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu RZ- und Server-Technik

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte