linux - 将 NFLOG pcap 转换为以太网 pcap

Question

我需要嗅探特定 Linux 用户 (UID) 的流量。我正在使用 iptables/NFLOG ( http://wiki.wireshark.org/CaptureSetup/NFLOG ) 来做这件事，效果很好。

我的问题是 NFLOG 将 pcap 封装更改为“NFLOG”(来自“以太网”)，一些工具(如 tcpflow)无法再读取它。

我的问题是:是否可以将此类 pcap 转换为“老式”pcap 文件？

Answer 1

我遇到了一个相关的问题。这是我的解决方案:https://unix.stackexchange.com/a/527940/346609 .

我使用 NFQUEUE+tcpdump 从 iptables 捕获数据包，而不是使用 NFLOG+tcpdump。在这种情况下，生成的转储中的数据包只是原始 ip 数据包，也就是说，它们根本没有链路层 header 。我意识到这不是您想要的，因为您希望以太网 header 出现在转储中。但是，转储文件至少要小得多，您不需要彻底检查所有转储(可能有千兆字节长)并删除 NFLOG header 。与 NFLOG 相比，NFQUEUE 也没有 TCP 校验和问题(该问题也由链接描述)。