Wie kann ich die Netzwerkaktivität eines Befehls verfolgen?

Ich möchte die Netzwerkaktivität eines Befehls verfolgen. Ich habe versucht, tcpdump und strace ohne Erfolg auszuführen.

Wenn ich beispielsweise ein Paket installiere oder einen Befehl verwende, der versucht, eine Site zu erreichen, möchte ich diese Netzwerkaktivität (die Site, die er zu erreichen versucht) anzeigen.

Ich denke, wir können dies mit tcpdump tun. Ich habe versucht, aber es verfolgt alle Netzwerkaktivitäten meines Systems. Angenommen, ich führe mehrere netzwerkbezogene Befehle aus und möchte nur bestimmte Befehlsnetzwerkaktivitäten verfolgen. In diesem Fall ist es schwierig, die genaue Lösung zu finden.

Gibt es eine Möglichkeit, das zu tun?

AKTUALISIEREN:

Ich möchte nicht alles auf meiner Netzwerkschnittstelle nachverfolgen. Ich möchte nur die Netzwerkaktivität des Befehls (zum Beispiel #yum install -y vim) verfolgen. Wie die Website, die es zu erreichen versucht.

Der Einfachheit halber netstat

Den netstatPID- oder Prozessnamen verwenden und nach ihm suchen:

# netstat -np --inet | grep "thunderbird"
tcp        0      0 192.168.134.142:45348   192.168.138.30:143      ESTABLISHED 16875/thunderbird
tcp        0      0 192.168.134.142:58470   192.168.138.30:443      ESTABLISHED 16875/thunderbird

Und Sie könnten watchfür dynamische Updates verwenden:

watch 'netstat -np --inet | grep "thunderbird"'

Mit:

• -n: Zeigen Sie numerische Adressen an, anstatt zu versuchen, symbolische Host-, Port- oder Benutzernamen zu ermitteln
• -p: Zeigt die PID und den Namen des Programms an, zu dem jeder Socket gehört.
• --inet: Nur Raw-, UDP- und TCP-Protokoll-Sockets anzeigen.

Strace für Ausführlichkeit

Sie sagten, Sie haben das straceTool ausprobiert , aber haben Sie die Option ausprobiert trace=network? Beachten Sie, dass die Ausgabe sehr ausführlich sein kann, sodass Sie möglicherweise etwas Greifen benötigen. Beginnen Sie mit "sin_addr".

 strace -f -e trace=network <your command> 2>&1 | grep sin_addr

Oder verwenden Sie für einen bereits laufenden Prozess die PID:

 strace -f -e trace=network -p <PID> 2>&1 | grep sin_addr

Ich würde einen neuen Netzwerk-Namespace erstellen , ihn mit dem realen Netzwerk verbinden und dann die Bridge mit überwachen tcpdump.

sysdig Ermöglicht Ihnen die Überwachung aller Aktivitäten des Kernels oder mehrerer Befehle, die in Ihrem System ausgeführt werden, einschließlich und nicht beschränkt auf Netzwerkaktivitäten.

Da die Ausgabe sehr umfangreich sein kann, müssen Sie Filter erstellen. Die Standardseite für die grundlegendsten Filter ist verständlich.

Es hat auch den Vorteil, dass es nicht als Anwendungs-Wrapper wie in verwendet wird strace, und es kann sehr leistungsfähig sein.

Aus Sysdig-Beispielen

Vernetzung

Sehen Sie sich die wichtigsten Prozesse zur Auslastung der Netzwerkbandbreite an

sysdig -c topprocs_net 

Zeigen Sie die mit dem Host 192.168.0.1 ausgetauschten Netzwerkdaten an

Als binär:

sysdig -s2000 -X -c echo_fds fd.cip=192.168.0.1   

Als ASCII:

sysdig -s2000 -A -c echo_fds fd.cip=192.168.0.1 

Siehe die wichtigsten lokalen Server-Ports:

In Bezug auf bestehende Verbindungen:

sysdig -c fdcount_by fd.sport "evt.type=accept"   

In Bezug auf die Gesamtzahl der Bytes:

sysdig -c fdbytes_by fd.sport 

Siehe die Top-Client-IPs

In Bezug auf bestehende Verbindungen

sysdig -c fdcount_by fd.cip "evt.type=accept"   

In Bezug auf die Gesamtzahl der Bytes

sysdig -c fdbytes_by fd.cip 

Listen Sie alle eingehenden Verbindungen auf, die nicht von Apache bedient werden.

sysdig -p"%proc.name %fd.name" "evt.type=accept and proc.name!=httpd"

Mit wireshark können Sie den gesamten Ein- und Ausgabeverkehr einer Netzwerkschnittstelle aufspüren. Falls Sie eine Option ohne GUI benötigen, können Sie tshark verwenden.

Mit beiden Optionen können Sie den gesamten Netzwerkverkehr anzeigen und speichern, um später alle eingerichteten Verbindungen zu analysieren.