Erfassen Sie den Filterfilter mit tcpdump/tshark

Question

Ich möchte IP-Nachrichten filtern, die wie folgt aufgebaut sind (siehe Abbildung unten):

1. GRE zusätzlich zu IP
2. GRE enthält IP mit UDP auf Port 1234 (im Bild unten Port 80).

Wie kann ich solche Nachrichten filtern?

Das PS-Betriebssystem basiert auf Windows

Answer 1

Ich bin nicht sicher, was Sie mit „zusätzlich zum GRE“ meinen, daher werde ich beides einschließen.

1. Wenn Sie versuchen, Pakete zu erfassen, die zu und von einem GRE gehen, und Sie die Schnittstelle für den GRE-Tunnel kennen, können Sie den tcpdump -i GRE_INTERFACE host IPgesamten Datenverkehr anzeigen, der zu und von „IP“ geht. Wenn Sie nur den Datenverkehr dorthin sehen möchten, ändern Sie den Host in dst. Um nur UDP-Datenverkehr auf Port 1234 zu erhaltentcpdump -i GRE_INTERFACE host IP and udp and port 1234

2. Wenn Sie versuchen, GRE-Pakete selbst zu erfassen, können Sie dies tun tcpdump -i any proto gre, wenn Sie zu viel GRE-Verkehr haben und ihn durch den spezifischen Tunnel sehen möchten, tun Sie diestcpdump -i any proto gre and host IP_OF_GRE_TUNNEL_REMOTE

ich hoffe das hilft