web-dev-qa-db-ja.com

pcapファイル内の接続数のカウント

Pcapファイル内のTCPおよびUDP接続の数を取得するために使用できるツールは何ですか?

2
oonska

TCP接続の場合、SYN-ACKパケットを数えることで、かなり良い概算を得ることができます。

tcpdump -nr trace.pcap 'tcp[tcpflags] & (tcp-syn|tcp-ack) = (tcp-syn|tcp-ack)' | wc -l

UDPの場合、接続などはありません。そのため、最初に、カウントする対象を定義する必要があります。ファイルに存在するソースと宛先の異なるペアの数を数えることができます。このコマンドは各方向のパケットを個別にカウントするため、すべての「接続」が双方向にパケットを送信する場合は、2で割る必要があります。

tcpdump -nr trace.pcap 'udp' | cut -f2-5 -d' ' | sort -u | wc -l

GUIベースのツールが必要な場合、WiresharkはTCP接続を分析できます。ファイル内で見つかった各TCP接続に番号を割り当てるので、次のことができます。ファイルの一番下までスクロールして、最後に割り当てられた接続の番号を確認します(複数の接続が重複していて、最大番号の接続からの最後のパケットの後に他の接続が続く場合は、複数の接続を確認する必要があります)。

1
kasperd

Wireshark これはStatistics→Conversationsを介して実行できます。 TShark-q -z conv,tcp -r /path/to/capture.pcapおよび-q -z conv,udp -r /path/to/capture.pcapを介して実行できます。 Ntop もそれを行うことができるはずです。

3
Gerald Combs