tcpdump: Erfassen Sie einen von mehreren VLANs

Ich möchte, dass tcpdump VLAN 1000 oder VLAN 501 erfasst. man pcap-filterSagt:

Der Ausdruck vlan [vlan_id] kann mehrmals verwendet werden, um nach VLAN-Hierarchien zu filtern. Jede Verwendung dieses Ausdrucks erhöht die Filterversätze um 4.

Wenn ich es tue:

tcpdump -vv -i eth1 \( vlan 1000 \) and \( ip host 10.1.1.98 or ip host 10.1.1.99 \)

Ich bekomme erbeutete Pakete.

Aber wenn ich das mache:

tcpdump -vv -i eth1 \( vlan 1000 or vlan 501 \) and \( ip host 10.1.1.98 or ip host 10.1.1.99 \)

Ich bekomme keine Pakete - ich nehme an, wegen des in der Manpage beschriebenen Verhaltens "Inkrementieren um 4".

Wie kann ich Datenverkehr in mehr als einem VLAN gleichzeitig erfassen?

Ich erinnerte mich, dass Sie die Paketbytes direkt untersuchen können. Ein direkter Blick in den Ethernet-Header funktioniert also:

tcpdump -vv -i eth1 '( vlan and ( ether[14:2] & 0xfff == 1000 or ether[14:2] & 0xfff == 501 ) ) and ( ip host 10.1.1.98 or ip host 10.1.1.99 )'

Vergiss das nicht, das :2ist ein 2-Byte-Feld - ich habe mich eine Weile damit beschäftigt.

Es kann einfacher gemacht werden als mit Deep Packet Exam. Verwenden Sie einfach grep:

tcpdump -n -i eth1 -e | grep "vlan 1000" 

-e: Gibt den Header auf Verbindungsebene in jeder Speicherauszugszeile aus.

es werden Zeilen wie gedruckt

ethertype 802.1Q (0x8100), length 60: vlan 1000, p 0, ethertype ARP

das kann leicht von grep gefangen werden

Wenn Sie mehr als eine VLAN-ID abfangen möchten, können Sie folgende Befehle verwenden:

tcpdump -n -i eth1 -e | grep "vlan 1000\|vlan 501"

Es scheint, dass der VLAN-Filter den Paketinhalt verschiebt ....

http://www.christian-rossow.de/articles/tcpdump_filter_mixed_tagged_and_untagged_VLAN_traffic.php