一般要 mirror 遠端機器上的流量會使用具有 port mirror 的 switch, 這樣就可以得到完整的封包了, 但是如果沒有 port mirror 的機器怎麼辦呢? 這時候就只好用其他方式, 像是 ssh or nc

這邊就不講 ssh 了, 很多 embedded system 是沒有 ssh 的.

這個方式不適用於 Windows 版的 Wireshark, 但是理論上 Windows 版的 Wireshrak 應該可以配合 Winpcap 做到同樣的事情. 以下講的是 Linux 版的

首先, 在 wireshark 的機器上先執行 nc , nc 沒有辦法直接輸出到 fifo 的檔案上, 所以要接個 tee 指令

mkfifo /tmp/temp.pcap
nc -k -l -p 9999| tee > /tmp/temp.pcap

然後在 target 機器上執行

tcpdump -s 0 -U -n -w - -i eth0 not host 10.1.1.1 | nc 10.1.1.1 9999

再回來 wireshark 的機器上執行

cat /tmp/temp.pcap | wireshark -k -i -

這樣應該就可以順利的執行了. BUT, 人生最機車的就是還有這個 BUT.

我有一組機器 Wireshark 跑在 ubuntu 12.04 上沒有辦法照上面那些指令執行, 猜想可能是 wireshark 版本的問題, 這時候請改用以下命令

首先, 在 wireshark 的機器上先執行 nc

mkfifo /tmp/temp.pcap
nc -k -l -p 9999| tee > /tmp/temp.pcap

然後在 target 機器上執行

dumpcap -P -w - -i eth0 -f 'not host 10.1.1.1' | nc 10.1.1.1 9999

再回來 wireshark 的機器上執行

wireshark -k -i /tmp/temp.pcap

這樣, 祝各位順利.

如果沒有 dumpcap 可以改用 tcpdump
在有 GUI 的機器執行

wireshark -k -i /tmp/temp.pcap

在 Target Board 上執行

ssh root@192.168.110.2 "tcpdump -s 0 -U -n -w - -i eth0 not port 22" > /tmp/temp.pcap;

這樣也可以

ref:
Monitoring remote traffic with tcpdump and netcat
Pipes (ssh 可以參考這一篇)
How to process tcpdump live data stream from a remote machine on a local WireShark

The post Wireshark Debug 遠端的機器 appeared first on richliu's blog.

這個問題源自於 Linux NIC driver enable GRO (Generic Receive Offload), 這功能會將數個封包組合成一個大封包以增加速度.

這時可以用 ethtool 去修改網路卡的參數

使用 ethtool -k <interface> 查看狀況.

[TEXT]

# ethtool -k eth0
Features for eth0:
rx-checksumming: on
tx-checksumming: off
tx-checksum-ipv4: off
tx-checksum-ip-generic: off [fixed]
tx-checksum-ipv6: off [fixed]
tx-checksum-fcoe-crc: off [fixed]
tx-checksum-sctp: off [fixed]
scatter-gather: off
tx-scatter-gather: off
tx-scatter-gather-fraglist: off [fixed]
tcp-segmentation-offload: off
tx-tcp-segmentation: off
tx-tcp-ecn-segmentation: off [fixed]
tx-tcp6-segmentation: off [fixed]
udp-fragmentation-offload: off [fixed]
generic-segmentation-offload: off [requested on]
generic-receive-offload: on
large-receive-offload: off [fixed]
rx-vlan-offload: on
tx-vlan-offload: on
ntuple-filters: off [fixed]
receive-hashing: off [fixed]
highdma: off [fixed]
rx-vlan-filter: off [fixed]
vlan-challenged: off [fixed]
tx-lockless: off [fixed]
netns-local: off [fixed]
tx-gso-robust: off [fixed]
tx-fcoe-segmentation: off [fixed]
fcoe-mtu: off [fixed]
tx-nocache-copy: off
loopback: off [fixed]
rx-fcs: off
rx-all: off
[/TEXT]

我們發現 generic-receive-offload: on
然後可以用這個命令
# ethtool –offload eth0 gro off
關掉GRO, 這樣抓下來的封包就會正常了.

ref.

Re: [Wireshark-users] wireshark sees jumbo TCP packets in linux

The post [Linux] Wireshark 抓到超過 MTU 的封包. appeared first on richliu's blog.