LinuxForum.Fans
Тема

tcpdump

Автор: r0man00 5 сообщений 2325 просмотров
01.02.2011 11:14 #123766

Добрый день Уважаемые!
Не могу разобраться со следующей ситуацией:
Целый день на шлюз идет трафик с cds44.zrh9.msecn.net(адреса могут меняться) и соответственно забивает канал.
Узнал вот так tcpdimp -i eth1 (eth1 смотрит в интернет)

text
10:27:46.536893 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.536995 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537119 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537141 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.537240 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537364 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537384 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.537486 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537610 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537632 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.537733 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537856 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537877 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.537978 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538104 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538125 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.538226 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538348 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538368 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.538473 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538594 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538614 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.538669 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 912
10:27:46.538764 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.539411 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.539740 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.539755 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.539864 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.540540 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.540555 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.540664 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.540786 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.540806 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.540909 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.541032 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448

Как можно узнать кому в мою внутреннею сеть идет данный трафик?

01.02.2011 11:33 #123772

Повесить tcpdump на нужный внутренний интерфейс, как вариант.

01.02.2011 12:10 #123778
r0man00 написал:
Добрый день Уважаемые!
Не могу разобраться со следующей ситуацией:
Целый день на шлюз идет трафик с cds44.zrh9.msecn.net(адреса могут меняться) и соответственно забивает канал.
Узнал вот так tcpdimp -i eth1 (eth1 смотрит в интернет)
text
10:27:46.536893 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.536995 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537119 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537141 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.537240 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537364 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537384 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.537486 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537610 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537632 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.537733 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537856 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.537877 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.537978 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538104 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538125 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.538226 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538348 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538368 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.538473 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538594 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.538614 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.538669 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 912
10:27:46.538764 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.539411 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.539740 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.539755 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.539864 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.540540 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.540555 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.540664 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.540786 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.540806 IP мой_внешний_IP > cds44.zrh9.msecn.net.http: tcp 0
10:27:46.540909 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448
10:27:46.541032 IP cds44.zrh9.msecn.net.http > мой_внешний_IP: tcp 1448

Как можно узнать кому в мою внутреннею сеть идет данный трафик?

Ну наверно стоит nat? iptables + log

01.02.2011 23:22 #124023
Vadimsky написал:
Посмотрите здесь: http://habrahabr.ru/blogs/linux/42581/

Чтоб просто найти виновника слишком жирно.
За ссылочку спс) пригодиться.

Войдите или зарегистрируйтесь, чтобы ответить.