5 votes

utilisation de wireshark/tshark en ligne de commande pour ignorer les connexions ssh

J'essaie de déboguer certains en regardant les paquets et je voudrais éviter de recevoir tout le trafic SSH vers le serveur. Existe-t-il un moyen de l'ignorer ?

J'ai essayé de faire quelque chose comme tshark -f "port !22" mais il a cessé d'écouter après la commande.

[root@vpn ~]# tshark -f "port !22"
tshark -f "port ls"
Running as user "root" and group "root". This could be dangerous.
Capturing on venet0
tshark: arptype 65535 not supported by libpcap - falling back to cooked socket.

tshark: Invalid capture filter: "port ls"!

That string isn't a valid capture filter (unknown port 'ls').
See the User's Guide for a description of the capture filter syntax.
0 packets captured
[root@vpn ~]#

8voto

Yamaho Points 4053

Tshark et tcpdump utilisent tous les deux l'option pcap de sorte que les filtres de capture utilisent syntaxe de pcap-filter . Le filtre que vous voulez est, comme le dit @tristan, "not port 22" . Vous pouvez l'entrer comme argument de chaîne entre guillemets dans la commande -f ou en tant qu'argument non cité de la commande. Les commandes suivantes sont équivalentes :

# tshark -f "not port 22"
# tshark -- not port 22

La raison pour laquelle tshark s'est plaint de votre commande ci-dessus est que votre Shell (probablement Bash) a étendu "!22" à la commande numéro 22 dans votre historique de commandes, qui dans ce cas était "ls". Le site Documentation sur Bash a plus d'informations sur l'expansion de l'histoire.

2voto

Je n'ai pas accès à une installation de tshark actuellement, mais je suppose que c'est la même chose que le tcpdump :

sudo tcpdump not port 22

donc, potentiellement :

tshark not port 22

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X