wireshark - 带有 rpcap 的 tshark 也捕获了自己的接口

Question

平台：Fedora 13，32 位机器我在客户端运行 tshark，在远程机器上运行 rpcapd。这是一个例子：-

远程机器：- IP 地址 192.168.100.100（比如）和接口名称 - eth1（比如）bash$:- sudo ./rpcapd -n

客户端：- IP 地址 192.168.100.200 bash$:- sudo tshark -w output.pcap -i rpcap://192.168.100.100/eth6 -f "ip proto 132"

数据包捕获正在成功运行，并且数据包也正在被捕获。但它也捕获进出自己机器接口的数据包，这些数据包与远程机器的接口无关。

请帮助我理解这一点..

score 0 · Accepted Answer

您可以通过添加过滤器来排除到您的捕获主机的流量：

 tshark -f '(host not 192.168.100.200) and (ip proto 132)'

score 0 · Accepted Answer

问题是由于混杂模式而发生的。

我试过这个：

$sudo tshark -p -w output.pcap -i rpcap://192.168.100.100/eth6 -f "ip proto 132"

它奏效了！选项 -p 表示接口不会进入混杂模式。

2 回答 2