☰

ファイアウォールの背後にあるrpcapd

tag-icon • tag-icon networking firewall wireshark packet-capture
ファイアウォールの背後にあるrpcapd

厳格なセキュリティ ポリシー ルールに従う rpcapd がインストールされたリモート サーバーがあります。すべてのクライアントは、同じセキュリティ ポリシーに従うファイアウォール経由でのみサーバーにアクセスできます (私のアイデアではないので、私を責めないでください)。リモート キャプチャの目的でサーバーとファイアウォールで開かれるポートは のみですtcp:2002。また、ファイアウォールは不明な送信ポートをすべてブロックします。したがって、全体像は次のようになります。

client >> firewall (tcp:2002 opened) >> target server (tcp:2002 opened)

質問は、rpcapd はキャプチャしたトラフィックをクライアントに転送するために「データ ポート」(TCP または UDP) を使用するかどうかです。使用する場合は、これらのポートは何ですか。コマンド スイッチを使用して手動で設定できますか。

ドキュメントに記載されている唯一のポートは...

-p <port> It sets the port the daemon has to bind to. Default: it binds to port 2002.

しかし、これが単なる「制御ポート」のようなものであれば、私のケースではリモート キャプチャは機能しません。

答え1

ドキュメントを読むと、アクティブ モードは提供したスキーマに役立つようです: [ソース:[https://www.winpcap.org/docs/docs_412/html/group__remote.html]

Remote Capture Running Modes
The Remote Capture Protocol (RPCAP) can work in two modes:

Passive Mode (default): the client (e.g. a network sniffer) connects to the remote daemon, it sends them the appropriate commands, and it starts the capture.
Active Mode: the remote daemon try to establish a connection toward the client (e.g. the network sniffer); then, the client sends the appropriate commands to the daemon and it starts the capture. This name is due to the fact thet the daemon becomes active instead of waiting for new connections.
The Active Mode is useful in case the remote daemon is behind a firewall and it cannot receive connections from the external world. In this case, the daemon can be configured to establish the connection to a given host, which will have been configured in order to wait for that connection. After establishing the connection, the protocol continues its job in almost the same way in both Active and Passive Mode.

関連情報