Page 1 of 5 123 ... LastLast
Results 1 to 15 of 132

Thread: Сниффер на WL500gp (netflow & tcpdump)

Hybrid View

Previous Post Previous Post   Next Post Next Post
  1. 20-12-2005, 16:17 #1
    mumbo
    mumbo is offline Registered User
    Join Date
    Dec 2005
    Posts
    3

    Question Сниффер на WL500gp (netflow & tcpdump)

    Уважаемые!

    имеется Asus WL-500gx (deluxe) и adsl модем Asus AAM6020BI.

    задача - на любом из этих устройств надо включить port mirroring (или port span) - т.е. чтобы все пакеты для какого-либо ethernet порта полностью дублировались на другом порту устройства.

    понятно что можно для этих целей можно использовать дополнительный hub или управляемый switch, но

    хочется сделать это используя какое-либо (все равно) из вышеупомянутых устройств, если такая возможность имеется.

    можно ли перевести WL 500gx в режим hub?

    благодарю всех откликнувшихся!
    Reply With Quote Reply With Quote
  2. 20-12-2005, 17:08 #2
    Tsvetkov
    Tsvetkov is offline Senior Member
    Join Date
    Mar 2005
    Location
    Russia, Sankt-Peterburg
    Posts
    177
    у asus-a Virtual Server, называеться это port mapping
    в режим hub - System Setup - Operation Mode - Access Point

    зы RTFM
    Reply With Quote Reply With Quote
  3. 20-12-2005, 18:36 #3
    mumbo
    mumbo is offline Registered User
    Join Date
    Dec 2005
    Posts
    3
    спасибо за ответ, но в данном случае имелось в виду не tcp/udp port mapping, а ethernet port mirroring (в терминах cisco - span), вот здесь хорошие иллюстрации на эту тему - http://www.cisco.com/warp/public/473/41.html

    что касается функционирования wl-500gx в режиме Access Point то в этом случае ethernet порты устройства находятся в режиме switch, но не hub, увы.

    если знаете how to - буду признателен,

    С уважением,
    Андрей
    Reply With Quote Reply With Quote
  4. 20-12-2005, 19:05 #4
    Oleg
    Oleg is offline Administrator
    Join Date
    Dec 2003
    Location
    Russian Federation
    Posts
    8,356
    [root@wl500gx root]$ robocfg
    Broadcom BCM5325E/536x switch configuration utility
    Copyright (C) 2005 Oleg I. Vdovikin

    This program is distributed in the hope that it will be useful,
    but WITHOUT ANY WARRANTY; without even the implied warranty of
    MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
    GNU General Public License for more details.

    Usage: robocfg <op> ... <op>
    Operations are as below:
    show
    switch <enable|disable>
    port <port_number> [state <enabled|rx_disabled|tx_disabled|disabled>]
    [stp none|disable|block|listen|learn|forward] [tag <vlan_tag>]
    [media auto|10HD|10FD|100HD|100FD] [mdi-x auto|on|off]
    vlan <vlan_number> [ports <ports_list>]
    vlans <enable|disable|reset>
    Свитч поддерживает spanning tree. Как управлять - более менее понятно. Пробуйте. О результатах расскажите.
    Reply With Quote Reply With Quote
  5. 20-12-2005, 21:37 #5
    Tsvetkov
    Tsvetkov is offline Senior Member
    Join Date
    Mar 2005
    Location
    Russia, Sankt-Peterburg
    Posts
    177
    Олег как я понял, человеку пакеты перехватывать надо,
    плиз откампили http://www.ethereal.com/. Посильнее
    tcpdump будет. Думаю это то что надо человеку. Да
    и нам бы пригодилось
    Reply With Quote Reply With Quote
  6. 20-12-2005, 22:17 #6
    mumbo
    mumbo is offline Registered User
    Join Date
    Dec 2005
    Posts
    3
    Спасибо Вам, Олег, за подсказку, но я пока не разобрался как с помощью robocfg зеркалить траффик на порт, к которому подключена машина со сниффером. буду экпериментировать )

    хочу внести ясность - чтобы не было терминологической путаницы )))

    The Switched Port Analyzer (SPAN) feature, sometimes called port mirroring or port monitoring, selects network traffic for analysis by a network analyzer such as a SwitchProbe device or other Remote Monitoring (RMON) probe. (http://www.cisco.com/warp/public/473/41.html)

    т.е. Spanning Tree Protocol - это как я понимаю - немного из другой области - технология для оптимизации маршрута прохождения пакетов в сети, хотя звучит похоже (((

    ethereal как раз и использую - согласен, программа весьма полезная,
    видимо мне надо более четко изложить свою задачу:

    надо анализировать траффик устройства, которое включено в локальную сеть.

    сниффер (ethereal) способен "смотреть" только на тот траффик, который идет через порт машины, на которой сниффер установлен (и winpcap через который он и получает пакеты).

    конечно, можно поставить две сетевые карты в эту машину и пропускать таким образом весь траффик транзитом или включить устройство через хаб, или же - самый оптимальный способ - дублировать весь траффик проходящий из порта A на порт B в свитче на порт C - к которому подключена машина с анализатором пакетов.

    вот последний вариант и хочется реализовать с WL-500gx )

    пока попытаюсь что-нибудь сделать с помощью robocfg )))
    Reply With Quote Reply With Quote
  7. 21-03-2006, 19:02 #7
    Chronic
    Chronic is offline Junior Member
    Join Date
    Mar 2006
    Posts
    6
    Жаль, что никаких сентенций. Хоть куда копать?
    Reply With Quote Reply With Quote
  8. 21-03-2006, 19:23 #8
    Oleg
    Oleg is offline Administrator
    Join Date
    Dec 2003
    Location
    Russian Federation
    Posts
    8,356
    Копать - смотреть какие пакеты идут с помощью tcpdump.
    Reply With Quote Reply With Quote
  9. 22-03-2006, 09:42 #9
    Chronic
    Chronic is offline Junior Member
    Join Date
    Mar 2006
    Posts
    6
    Например так tcpdump -i vlan1 -n -vvv port ftp or ftp-data ?
    Reply With Quote Reply With Quote
  10. 22-03-2006, 13:27 #10
    Tsvetkov
    Tsvetkov is offline Senior Member
    Join Date
    Mar 2005
    Location
    Russia, Sankt-Peterburg
    Posts
    177
    скорее
    tcpdump -c 100 -s 0 -i vlan1 -w /tmp/harddisk/test.txt
    -с -колво пакетов
    и открывать Ethereal-ом этот файлик и каптурить все
    Reply With Quote Reply With Quote
  11. 16-06-2006, 11:04 #11
    vladonline
    vladonline is offline Member
    Join Date
    Oct 2005
    Posts
    37

    Как сказать tcpdump на беспроводной трафик?

    Как сказать tcpdump на роутере на беспроводной трафик?
    Ест ьжелание посмотреть что за пакеты бегают..
    Reply With Quote Reply With Quote
  12. 16-06-2006, 12:38 #12
    Oleg
    Oleg is offline Administrator
    Join Date
    Dec 2003
    Location
    Russian Federation
    Posts
    8,356
    tcpdump -i имя_интерфейса
    Reply With Quote Reply With Quote
  13. 16-06-2006, 13:39 #13
    vladonline
    vladonline is offline Member
    Join Date
    Oct 2005
    Posts
    37
    Quote Originally Posted by Oleg
    tcpdump -i имя_интерфейса
    vlan1[0]?

    нашел.. eth1
    Last edited by vladonline; 16-06-2006 at 13:44.
    Reply With Quote Reply With Quote
  14. 18-07-2007, 00:03 #14
    djet
    djet is offline Senior Member
    Join Date
    Jul 2007
    Posts
    365

    Трассировки с роутера

    Ещё одна странная проблема, трассировка до любого внешнего и внутреннего хоста не проходит без явного указания исходящего IP. tcpdump выдаёт удивительные вещи:
    [djet@(none) root]$ tcpdump host 87.250.251.8 -i ppp0
    tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
    listening on ppp0, link-type LINUX_SLL (Linux cooked), capture size 68 bytes
    02:41:38.652705 IP 10.111.10.111.33012 > ya.ru.33441: UDP, length: 10
    02:41:40.652597 IP 10.111.10.111.33012 > ya.ru.33442: UDP, length: 10
    , т.е. пакеты уходят с ppp0 с обратным адресом из vlan1.
    iptables -F не помогает. С маршрутами тоже должно быть всё в порядке:
    [djet@(none) root]$ route
    Kernel IP routing table
    Destination Gateway Genmask Flags Metric Ref Use Iface
    85.21.151.130 10.111.0.17 255.255.255.255 UGH 2 0 0 vlan1
    195.14.38.0 10.111.0.17 255.255.255.224 UG 2 0 0 vlan1
    192.168.1.0 * 255.255.255.0 U 0 0 0 br0
    85.21.79.0 10.111.0.17 255.255.255.0 UG 2 0 0 vlan1
    10.111.0.0 * 255.255.0.0 U 0 0 0 vlan1
    10.0.0.0 10.111.0.17 255.0.0.0 UG 2 0 0 vlan1
    127.0.0.0 * 255.0.0.0 U 0 0 0 lo
    default 85.21.0.17 0.0.0.0 UG 0 0 0 ppp0
    default 10.111.0.17 0.0.0.0 UG 1 0 0 vlan1
    Reply With Quote Reply With Quote
  15. 07-08-2008, 12:03 #15
    Alexx_B
    Alexx_B is offline Member
    Join Date
    May 2006
    Posts
    46

    Помогите разобраться с пробросом порта

    Wl500gP, прошивка 1.9.2.7-10
    Установлен OpenVPN. Когда-то была необходимость пробрасывать rAdmin-овский порт 4899 через роутер на комп. Но хитро, чтобы это возможно было только через OpenVPN (какая-никакая,а защита компа). Так что через веб-оболочку не подходит
    поэтому я добавил в post-firewall правило
    Code:
    iptables -t nat -A PREROUTING -p tcp -s 10.8.0.1/24 --dport 4899 -j DNAT --to-destination 10.100.1.5:4899
    было это давно и все работало, потом необходимость отпала, так что когда работать перестало я не знаю, но сейчас не работает. С роутером за это время разве что обновление прошивки происходило..

    команда та же, пакеты улавливаются
    Code:
    tcpdump -i tun0 -v
tcpdump: listening on tun0, link-type LINUX_SLL (Linux cooked), capture size 68 bytes
14:54:16.637974 IP (tos 0x0, ttl 128, id 9327, offset 0, flags [DF], length: 4 10.8.0.2.3124 > 10.8.0.1.4899: S [tcp sum ok] 3727616767:3727616767(0) win 16384 <mss 1260,nop,nop,sackOK>
14:54:19.553936 IP (tos 0x0, ttl 128, id 9350, offset 0, flags [DF], length: 4 10.8.0.2.3124 > 10.8.0.1.4899: S [tcp sum ok] 3727616767:3727616767(0) win 16384 <mss 1260,nop,nop,sackOK>
14:54:25.487031 IP (tos 0x0, ttl 128, id 9394, offset 0, flags [DF], length: 4 10.8.0.2.3124 > 10.8.0.1.4899: S [tcp sum ok] 3727616767:3727616767(0) win 16384 <mss 1260,nop,nop,sackOK>

3 packets captured
3 packets received by filter
0 packets dropped by kernel
    ну и вот
    Code:
    iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
DNAT       tcp  --  anywhere             anywhere           tcp dpt:5190 to:10.100.1.1:5190
VSERVER    all  --  anywhere             10.72.8.41
NETMAP     udp  --  anywhere             10.72.8.41         udp spt:6112 10.100.1.0/24
DNAT       tcp  --  10.8.0.0/24          anywhere           tcp dpt:4899 to:10.100.1.5:4899
    В чем я накосячил?
    Reply With Quote Reply With Quote
Page 1 of 5 123 ... LastLast
« Previous Thread | Next Thread »

Tags for this Thread

Posting Permissions

  • You may not post new threads
  • You may not post replies
  • You may not post attachments
  • You may not edit your posts
  •  

Forum Rules