TCPDump流量监控

一、流量监控概述

• 对于一个通信过程的分析，首先需要把握5个最基本数据：
  • 源IP：谁发起的请求，谁就是源，也可能是目标
  • 源端口：通常情况下，第一次发起请求的，可以称为客户端，第一次的目标机，称为服务器端。
  • 目标IP：通常情况下，目标IP是确定的，并且目标端口也是确定的
  • 目标端口：对于服务器端，通常是固定的
  • 协议：事先约定好的规则 http,https,ssh是最为流行的应用层协议
• 然后具体查看内容（payload:载荷）

二、安装tcpdump

yum install -y tcpdump

正在安装:
 tcpdump                     x86_64                     14:4.9.2-4.el7_7.1                     base                        422 k
为依赖安装:
 libpcap                     x86_64                     14:1.5.3-13.el7_9                      updates                     139 k

libpcap是Linux上标准的流量监控的库，大多数流量监控工具都是基于这个底层进行开发

在Windows上，比较知名的是wincap和mpcap

目前市面上主流的防火墙、IDS、IPS、包过滤工具，只要涉及到流量费的产品或系统，底层均基于以上这些库

三、tcpdump使用

tcpdump -i ens33: 监控ens33网卡上的流量，并输出到终端
tcpdump tcp and dst port 80 -i ens33：只监控当前服务器端的80端口的流量
tcpdump tcp and dst port 80 -i ens33 -w ./target.pcap：将流量保存到target.pcap
tcpdump tcp and dst port 80 -i ens33 -c 100：只捕获100条数据包就自动结束