Полное прослушивание трафика (Средствами tcpdump, возможно ли?)

[Dark Neo]

Имеется локальная сеть, разделенная на несколько сегментов точками доступа Wi-Fi, внутри сегментов пользователи друг друга видят, между сегментами -- нет. Имеется общий сервер для выхода в интернет -- серверу видны все пользователи.

На сервере установлен Debian 3.2 Sarge, Squid, IPTables и еще несколько самописных утилит для учета трафика типа squid2mysql.

Использование, например

Код: Выделить всё

root@gate:~# tcpdump -i eth1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes
20:48:56.918059 IP 10.6.0.1.ssh > 10.6.1.248.47936: P 1216079121:1216079233(112) ack 3121506025 win 17280 <nop,nop,timestamp 99292458 257082>
20:48:56.918543 IP 10.6.0.1.ssh > 10.6.1.248.47936: P 112:224(112) ack 1 win 17280 <nop,nop,timestamp 99292459 257082>
20:48:56.920659 IP 10.6.1.223.2171 > 80.93.58.162.colo.moscow.peterhost.ru.www: . ack 1085172937 win 65535
20:48:56.920934 IP 80.93.58.162.colo.moscow.peterhost.ru.www > 10.6.1.223.2171: . 8761:10221(1460) ack 0 win 32767
20:48:56.921044 IP 80.93.58.162.colo.moscow.peterhost.ru.www > 10.6.1.223.2171: . 10221:11681(1460) ack 0 win 32767
20:48:56.950416 IP 10.6.1.223.2171 > 80.93.58.162.colo.moscow.peterhost.ru.www: . ack 2921 win 65535

показывает, кто и куда ходил, сколько скачал.

Возможно ли перехватить то, что именно пользователь передал-получил (фильтрация по IP)??

[KiWi]

Как связаны фильтрация по IP и что именно пользователь передал-получил?

[Dark Neo]

Это я просто выразился, видимо, неправильно. Нужно полностью прослушать трафик выбранного IP адреса.

[KiWi]

tcpdump -i eth1 host 10.6.1.223
ещё можно обратить внимание самого tcpdump'а и использовать -v & -vv
ещё можно посмотреть на tethereal для анализа трафика

[Dark Neo]

tcpdump -i eth1 host 10.6.1.223

Что значит эта запись?

ещё можно обратить внимание самого tcpdump'а и использовать -v & -vv

Пробовал. Дает не совсем то, что нужно.

ещё можно посмотреть на tethereal для анализа трафика

Тоже не совсем то.

А простого сниффера никакого нет??

[KiWi]

А простого сниффера никакого нет??

А гугл перестал работать?

[Dark Neo]

Блин, тончно =)

[sash-kan]

А простого сниффера никакого нет?

проще tcpdump-а??? да куда уж проще

[Shura]

Dark Neo, если tcpdump и wireshark не то, то что же тогда тО?

[Olden Gremlin]

А простого сниффера никакого нет?

проще tcpdump-а??? да куда уж проще

возможно молодой человек имел ввиду что-то типа:

Код: Выделить всё

$ sudo tshark -tad -x -pni eth1

только, если мне не изменяет память, tshark в sarge назывался tethereal'ом

[Dark Neo]

Во! Оно самое. Осталось только с фильтрацией по протоколу и IP разобраться.

[Olden Gremlin]

Во! Оно самое. Осталось только с фильтрацией по протоколу и IP разобраться.

что значит "разобраться"?

Код: Выделить всё

$ sudo tshark -tad -x -pni eth1 -R "ip.addr==193.34.140.1 and tcp.port==53"

а вообще

Код: Выделить всё

$ man tshark
$ man 4 wireshark-filter

категорически могут помочь в разбирательствах

[Dark Neo]

Спасибо большое, самое оно.