tcp - 是否可以在wireshark中查看两个远程主机之间的TCP流量？

Question

我正在尝试调试两个嵌入式设备之间的 TCP 通信，其中只有一个在我的控制之下。我想看看 Wireshark 中发生了什么，但我什么也没看到。是否甚至可以在 Wireshark 中查看远程主机（但在同一交换机上）之间的流量？

Answer 1

这取决于你的开关。某些交换机具有称为“端口镜像”的功能，它允许您将特定物理端口上的所有流量镜像到另一个端口。

最便宜的方法是选择一个基本的网络集线器。默认情况下，这将在所有其他端口上复制单个端口上的所有传入和传出流量。

Answer 2

如果您使用一种称为ARP 欺骗的技术，即使没有端口镜像，您也可以看到交换机上的任何 IP 流量。您可以使用像ettercap这样的工具来完成此操作。我使用这种技术对 PBX 和 IP 电话之间的 VOIP 流量进行故障排除。一旦启动了 ARP 欺骗，您将在 Wireshark 上看到任何或所有 IP 流量。如果您怀疑此解决方案的合法性，请参阅此维基百科页面。Legitimate usage

Answer 3

当您和这些主机之间没有 SWITCH（与 HUB 相对）时，情况并非如此。交换机只会将数据包转发到目标主机所连接的端口，而集线器会将它看到的所有数据包传播到所有端口。

您可以通过（临时）安装一个集线器来实现您想要的，在该集线器上连接您的计算机和需要嗅探的两个系统。

编辑：正如 MattH 在评论中所说，在许多高端交换机上都有一个镜像功能，允许您使用交换机的一个端口来嗅探另一个端口。您可以询问您的网络人员您的交换机是否具有这样的功能，并访问该功能以进行调试。