CentOS 上实现 Sniffer 实时监控的实用方案
一、工具选型与适用场景
- tcpdump：系统自带或易安装的命令行抓包工具，适合服务器上快速实时查看与过滤，配合表达式可显著降低负载。
- tshark：Wireshark 的命令行版本，解析更丰富，适合在无图形界面的服务器上做更细的实时协议分析。
- Wireshark（GUI）：图形化分析最强，适合本地桌面实时抓包；远程可通过管道将抓包数据实时送入本机 Wireshark 界面。
- Packetbeat：面向应用层（如 HTTP、MySQL、DNS）的“托运人”，将解析后的事件实时发送到 Elasticsearch/Logstash/Kibana，便于检索、可视化与告警。
- MySQL Sniffer：针对 MySQL 协议的专用嗅探器，能实时打印 SQL、耗时、来源等，便于数据库审计与性能排查。
二、快速上手命令示例
- 使用 tcpdump 实时查看并过滤
- 查看网卡：ip addr；实时抓包：sudo tcpdump -i eth0 -n
- 仅看某主机：sudo tcpdump -i eth0 -n ‘host 192.168.1.100’
- 保存到文件：sudo tcpdump -i eth0 -w capture.pcap；回放：sudo tcpdump -r capture.pcap
- 使用 tshark 实时抓包与过滤
- 实时抓 TCP：sudo tshark -i eth0 -f “tcp”
- 仅看某源 IP：sudo tshark -i eth0 -f “src host 192.168.1.100”
- 保存与回放：sudo tshark -i eth0 -f “tcp” -w capture.pcap；sudo tshark -r capture.pcap
- 远程图形化实时分析（Wireshark 接收管道数据）
- 在 Windows 上用 ADVsock2pipe 监听端口（示例端口 2134），Wireshark 从该 Pipe 捕获；
- 在 CentOS 上执行：sudo tcpdump -i eth0 -nn -w - -U -s 0 “not port 2134” | nc 10.0.0.23 2134，即可把本地抓包实时推送到远端 Wireshark。
三、进阶用法与长期监控
- 环形缓冲与自动分段：用 tshark 的 ring buffer 避免磁盘被撑满
- 示例：sudo tshark -i eth0 -a filesize:100 -a files:10 -w /data/cap.pcap（每 100KB 切一个文件，最多 10 个，循环覆盖）
- 持续抓包与自动轮转（tcpdump）：脚本按时间/大小切分并压缩归档，配合磁盘告警清理旧数据，适合 24×7 监控与取证。
- 应用层实时监控（Packetbeat）：在客户端启用 interfaces.device: any，在 protocols 中启用需要的协议（如 http、mysql、dns），将事件输出到 ELK 集群，实现搜索、可视化与告警。
四、性能与合规要点
- 始终优先使用捕获过滤表达式（如 host、port、tcp/udp）减少无关流量，降低 CPU/磁盘压力。
- 需要观察链路全量流量时再启用混杂模式（多数抓包工具默认开启），避免无谓负载。
- 长时间运行请启用文件大小/时间切分与磁盘空间监控/清理，防止抓包中断或磁盘耗尽。
- 抓包涉及隐私与合规，务必在授权范围内使用，避免泄露敏感数据。