Ubuntu Sniffer如何进行网络测试

Ubuntu Sniffer网络测试流程（以tcpdump和Wireshark为例）

1. 安装Sniffer工具

Ubuntu系统下，常用Sniffer工具为tcpdump（命令行）和Wireshark（图形界面）。通过以下命令安装：

# 更新软件包列表
sudo apt update
# 安装tcpdump（命令行工具）
sudo apt install tcpdump
# 安装Wireshark（图形界面工具，需管理员权限）
sudo apt install wireshark

安装完成后，即可通过终端或图形界面启动工具。

2. 启动Sniffer捕获流量

2.1 使用tcpdump捕获流量

捕获指定接口流量：通过-i参数指定网络接口（如eth0有线接口、wlan0无线接口），若不确定接口名称，可通过ip a或ifconfig命令查看。
```
sudo tcpdump -i eth0
```
捕获所有接口流量：使用any伪设备捕获所有网络接口的流量。
```
sudo tcpdump -i any
```
限制捕获数量：通过-c参数指定捕获的数据包数量（如捕获10个包后自动停止）。
```
sudo tcpdump -i eth0 -c 10
```
保存到文件：通过-w参数将捕获的数据包保存为.pcap文件（后续可用Wireshark分析）。
```
sudo tcpdump -i eth0 -w capture.pcap
```

2.2 使用Wireshark捕获流量

启动Wireshark：在终端输入wireshark，或在应用程序菜单中找到“Wireshark”并打开。
选择接口：在弹出的“Capture Interfaces”窗口中，选择需要监控的接口（如eth0），点击“Start”开始捕获。
实时查看：Wireshark会实时显示捕获的数据包，包括源/目的IP、端口、协议等信息。

3. 过滤流量（精准定位问题）

过滤是Sniffer的核心功能，可减少无关流量，快速定位目标数据包。

3.1 tcpdump过滤语法

按主机过滤：捕获与特定IP相关的流量（如192.168.1.100）。
```
sudo tcpdump -i eth0 host 192.168.1.100
```
按端口过滤：捕获特定端口的流量（如HTTP的80端口、HTTPS的443端口）。
```
sudo tcpdump -i eth0 port 80
```

按协议过滤：捕获特定协议的流量（如ICMP的ping请求、TCP流量）。

sudo tcpdump -i eth0 icmp  # 捕获ping请求
sudo tcpdump -i eth0 tcp    # 捕获TCP流量

组合过滤：使用and（与）、or（或）、not（非）组合条件（如捕获192.168.1.100的HTTP流量）。
```
sudo tcpdump -i eth0 host 192.168.1.100 and port 80
```

3.2 Wireshark过滤语法

Wireshark支持更丰富的过滤语法，常见的有：

显示过滤：实时过滤已捕获的数据包（如ip.addr == 192.168.1.100显示该IP的所有流量）。
捕获过滤：在捕获前设置过滤条件（如tcp port 80只捕获HTTP流量），需在“Capture Options”中设置。

4. 分析捕获的数据

4.1 使用tcpdump分析

查看详细信息：通过-v（详细）、-vv（更详细）、-vvv（最详细）参数显示更多信息（如IP头部、TCP端口等）。
```
sudo tcpdump -i eth0 -vv
```
显示原始数据：通过-X参数以十六进制和ASCII格式显示数据包内容（如HTTP请求头）。
```
sudo tcpdump -i eth0 -X port 80
```
读取保存的文件：使用-r参数读取.pcap文件（如分析之前保存的capture.pcap）。
```
sudo tcpdump -r capture.pcap
```

4.2 使用Wireshark分析

过滤数据包：在过滤栏输入过滤条件（如http.request只显示HTTP请求包），点击“Apply”即可过滤。
查看数据包详情：选中某个数据包，右侧会显示该数据包的详细分层信息（如以太网帧、IP头部、TCP头部、应用层数据）。
统计分析：通过“Statistics”菜单查看流量统计（如协议分布、IP地址统计、端口统计），快速定位异常。

5. 常见网络测试场景

5.1 排查网络连接问题

捕获目标IP的流量，检查是否有请求（如ping的ICMP包、HTTP的SYN包），若无请求则可能是本地网络问题；若有请求无响应，则可能是目标主机或中间网络问题。
示例：捕获192.168.1.100的所有流量，查看是否有80端口的响应包。
```
sudo tcpdump -i eth0 host 192.168.1.100 and port 80
```

5.2 检测数据包丢失或延迟

捕获特定流量的多个数据包，通过时间戳（tcpdump -tttt显示完整时间）分析数据包的发送和接收时间间隔，判断是否存在延迟。
统计捕获的数据包数量，若与发送数量不符（如发送100个包，只收到80个），则可能存在丢包。

5.3 识别协议异常

检查数据包的协议字段（如TCP的SYN、ACK标志位），若出现异常（如只有SYN无ACK，可能是连接未建立），则可能是协议实现问题。
示例：捕获TCP流量，过滤出SYN包（tcp.flags.syn == 1 and tcp.flags.ack == 0），查看是否有对应的ACK响应。
```
sudo tcpdump -i eth0 'tcp[tcpflags] & (tcp-syn) != 0 and tcp[tcpflags] & (tcp-ack) = 0'
```

6. 注意事项

合法性：捕获网络流量前需获得授权（如公司内部网络需IT部门许可），避免侵犯他人隐私或违反法律法规。
性能影响：Sniffer会捕获大量流量，可能占用系统资源（如CPU、内存），建议在非高峰时段使用，或限制捕获范围（如只捕获特定端口）。
数据分析能力：捕获的数据包需要专业知识解读（如TCP三次握手、HTTP请求响应流程），建议结合网络知识分析问题根源。