Построитель фильтров tcpdump

Построитель фильтров tcpdump

Составляйте фильтры tcpdump без необходимости запоминать синтаксис BPF. Укажите адрес источника и назначения или подсеть, порт или диапазон портов и протокол, и инструмент создаст соответствующее выражение фильтра, обернет его в полную команду tcpdump с вашим интерфейсом и переключателями, а также выведет эквивалентный фильтр отображения Wireshark рядом — это полезно, когда вы захватываете данные из командной строки, но проверяете результат в графическом интерфейсе.

Адреса принимают простой хост («10.0.0.5»), подсеть CIDR («10.0.0.0/24») или имя хоста, проверяемые отдельно для источника и назначения. Поле порта принимает один порт или диапазон, например «8000-9000»; «Применить порт к» определяет, соответствует ли он обеим сторонам соединения или только исходящему или входящему порту. Протокол ограничивает захват до TCP, UDP или ICMP — оставьте его на «Любой», чтобы соответствовать каждому транспорту, в этом случае фильтр Wireshark объединяет и TCP, и UDP порты, поскольку Wireshark не имеет протокол-агностического поля портов, как это делает BPF. «Инвертировать фильтр» обертывает все выражение в not (…) tcpdump для захвата всего, кроме совпадения.

Интерфейс, количество пакетов и файл вывода pcap становятся переключателями -i, -c и -w в собранной команде, поэтому то, что вы видите, это именно то, что вы будете запускать. ICMP не имеет портов, поэтому объединение его с фильтром портов помечается как ошибка, а не молча создание фильтра, который не соответствует ничему — то же самое применяется к инвертированию пустого фильтра, или к имени интерфейса или файла с символами, которые могут нарушить команду.

Все работает в вашем браузере: адреса, порты и имена файлов, которые вы вводите, никогда не отправляются никуда, и фильтр собирается полностью с помощью локального JavaScript. Скопируйте команду, загрузите ее как файл .txt или отправьте результат обратно во входные данные, чтобы продолжить его корректировку.

FAQ