Linux Sniffer如何进行实时监控 - 问答

Linux Sniffer实时监控实操指南

一、工具选型与准备

常用工具与定位
- tcpdump：命令行抓包与过滤，适合服务器与终端实时查看、快速排障。
- Wireshark/tshark/dumpcap：图形化与命令行抓包，协议解析能力强，适合深度分析。
- iftop、nethogs、Sniffnet：按连接/进程/图形化展示带宽与流量，适合性能与占用观测。
权限与接口
- 抓包通常需要root或CAP_NET_RAW能力；先通过ip addr或ifconfig确认接口名（如eth0、wlan0、any）。
- 在 Wireshark 中可创建wireshark用户组并加入当前用户，避免长期以 root 运行 GUI。

二、使用 tcpdump 进行实时监控

安装与基础
- 安装：Debian/Ubuntu 执行sudo apt-get install tcpdump；CentOS/RHEL 执行sudo yum install tcpdump（或先启用 EPEL）。
常用实时命令
- 指定接口实时查看（不做解析）：sudo tcpdump -i eth0 -n
- 监控所有接口：sudo tcpdump -i any -n
- 仅看某端口（如 80/443/22）：sudo tcpdump -i eth0 port 80 或 tcp port 443 或 ‘tcp port 22’
- 仅看某主机：sudo tcpdump -i eth0 host 10.0.0.5
- 组合过滤（如某主机且某端口）：sudo tcpdump -i eth0 ‘host 10.0.0.5 and tcp port 80’
- 实时写入文件以便后续分析：sudo tcpdump -i eth0 -w capture.pcap
- 从文件回放查看：sudo tcpdump -r capture.pcap
性能与过滤建议
- 高吞吐场景务必使用**捕获过滤器（BPF）**缩小范围，减少内核与用户态开销，避免丢包。

三、使用 Wireshark 或 tshark 进行实时监控

安装与权限
- Ubuntu 示例：sudo add-apt-repository ppa:wireshark-dev/stable && sudo apt update && sudo apt install wireshark；随后执行sudo usermod -aG wireshark $USER并重新登录。
实时捕获要点
- 在“Capture Options”中选择正确接口，启用**混杂模式（Promiscuous Mode）**与“Update list of packets in real time”。
- 设置环形缓冲区（Ring Buffer）与自动停止条件（如按大小/时间），避免内存溢出。
- 容器/虚拟化环境优先选择物理网卡或 veth端点进行捕获。
过滤器与诊断
- 捕获过滤器（BPF）：如tcp port 80、not arp、host 10.0.0.5 and tcp portrange 8000-9000。
- 显示过滤器：如http.request.method == “GET”、ip.src == 192.168.1.10、tcp.analysis.retransmission（定位重传）。
命令行实时抓包
- tshark -i eth0 -Y “http” -T fields -e http.host -e http.request.uri（按显示过滤器实时输出字段）。

四、带宽与进程级实时监控

iftop：按连接显示实时带宽占用
- 安装：sudo apt-get install iftop 或 sudo yum install iftop
- 运行：sudo iftop -i eth0
nethogs：按进程显示实时网络占用
- 安装：sudo apt-get install nethogs 或 sudo yum install nethogs
- 运行：sudo nethogs eth0
Sniffnet：图形化实时流量监控（Rust 实现），适合快速总览与筛选。

五、实战命令清单与合规提示

0 赞

0 踩