centos sniffer如何进行网络部署

CentOS 上部署 Sniffer 的实用方案

一、部署前准备与权限

• 以具有 root 或 sudo 权限的账号操作，抓包需要访问网卡底层能力。
• 确认网卡名称（如 eth0、ens33、enp0s3），必要时先安装基础工具：sudo yum install -y iproute net-tools。
• 抓包通常需开启网卡 混杂模式（promiscuous），并确保有对目标网段的合法授权。

二、快速可用的部署选项

• 通用抓包与回放

  • 安装：sudo yum install -y tcpdump
  • 抓包示例：sudo tcpdump -i eth0 -w capture.pcap；按协议/端口过滤：sudo tcpdump -i eth0 port 80 or port 3306
  • 分析：将 capture.pcap 下载到本地用 Wireshark 打开；远程可用 tshark 或图形化工具分析。

• 图形化分析（远程抓包或本机桌面）

  • 安装：sudo yum install -y epel-release wireshark
  • 使用：在桌面环境启动 Wireshark 并选择网卡开始捕获；远程场景建议在本机抓包生成 pcap 后下载分析。

• 数据库流量嗅探

  • MySQL Sniffer（轻量、按 SQL 层观察）
    • 依赖：sudo yum install -y cmake libpcap-devel glib2-devel libnet-devel gcc gcc-c++
    • 安装：git clone https://github.com/jeremycole/mysql-sniffer.git && cd mysql-sniffer && mkdir proj && cd proj && cmake … && make
    • 运行：./bin/mysql-sniffer -i eth0（可按需添加 -p 端口、过滤表达式等参数）
  • Go-Sniffer（多协议，一键按端口嗅探）
    • 依赖：sudo yum install -y libpcap libpcap-devel
    • 安装 Go（示例）：wget https://golang.org/dl/go1.10.3.linux-amd64.tar.gz -O /tmp/go.tar.gz && tar -C /usr/local -xzf /tmp/go.tar.gz && echo ‘export PATH=$PATH:/usr/local/go/bin’ >> ~/.bashrc && source ~/.bashrc
    • 安装：go get -v -u github.com/40t/go-sniffer && sudo cp -rf $(go env GOPATH)/bin/go-sniffer /usr/local/bin
    • 运行：go-sniffer eth0 mysql -p 3306；或 go-sniffer eth0 redis -p 6379 out.log。

• 协议栈与可视化分析平台

  • ntopng（基于 Web 的流量分析与可视化嗅探）
    • 准备：sudo yum install -y libpcap libpcap-devel rrdtool rrdtool-devel 等依赖
    • 安装与启动：编译安装 ntopng 后，执行 ntopng -u ntop -d（建议创建专用 ntop 用户与目录并调整权限）
    • 访问：浏览器打开 http://服务器IP:3000 登录管理界面（默认账号/密码常见为 admin/admin，请立即修改）

三、部署架构与最佳实践

• 部署位置
  • 旁路/镜像流量：在交换机上配置 SPAN/RSPAN 或 ERSPAN，将目标网段流量镜像到部署嗅探器的网卡，避免影响业务链路。
  • 单机诊断：在本机执行抓包用于排障，注意本机回环与容器/虚拟网络需额外配置（如 -i any 或进入对应网络命名空间）。
• 过滤与性能
  • 使用 BPF 过滤表达式尽早缩小抓取范围（如 port 3306、host 10.0.0.10 and tcp），降低 CPU/磁盘压力。
  • 长期抓包务必启用文件轮转与大小限制（如 tcpdump 的 -C/-W 或使用环形缓冲），避免磁盘被占满。
• 安全与合规
  • 仅在授权范围内抓包，敏感数据（口令、令牌）避免落地；必要时对 pcap 做脱敏后再分析或传输。
  • 限制运行账号与文件权限，抓包文件加密存储，及时清理过期数据。

四、常见问题排查

• 权限不足：确保以 root 或具备 CAP_NET_RAW 能力的账号运行；sudo 提升权限后再执行抓包命令。
• 接口不存在或名称变化：用 ip link 确认实际网卡名，再替换到 -i 参数。
• 抓不到包：确认网卡处于 混杂模式，且确实接收到镜像/目标流量；检查交换机镜像配置是否正确。
• 解析异常：缺少协议解析库时，安装相应依赖或在分析端使用更完整的解析器（如 Wireshark）。

五、合规与安全提示

• 抓包涉及网络数据与隐私，请在取得明确授权的前提下进行，并遵守当地法律法规与企业安全制度。生产环境建议最小化抓包范围、加密存储与分析链路，避免泄露敏感信息。