networking - 使用 iftop 通过特定端口的网络流量

Question

我有一个使用 https 的过程。我使用 ps 找到了它的 PID并使用命令lsof -Pan -p PID -i获取它正在运行的端口号。

我需要 iftop 来查看数据传输。我现在使用的过滤器是iftop -f "port http 57787" .

我不认为这给了我正确的输出。
有人可以帮助我使用 iftop 的正确过滤器，以便我知道仅通过此端口的流量吗？

Answer 1

我可以在这里看到 2 个问题:

1/这是一个错字吗？过滤的正确选项是 -f(小“f”)。 -F(大写“F”)选项用于网络/掩码。

2/虽然 iftop 没有明确说明文档中，过滤的语法似乎是 pcap给出的几个示例中的一个(并且使用 ldd 我可以看到是的，iftop 二进制文件与 libpcap 链接)。所以一个带有 http 的过滤器根本无效。查看 pcap 的文档过滤语法，看看pcap-filter (7) - packet filter syntax手册页。在您的示例中，诸如“tcp port 57787”之类的过滤器就可以了。 pcap不进行第 5 层及更高层的协议(protocol)剖析，例如 http(pcap 过滤器由内核中的 BPF 处理，因此在第 4 层之上你是你自己的，因为这与内核无关)。

总而言之，这些看起来像 iperf错误。它应该拒绝您的“-F”选项，即使使用“-f”，也会以错误代码退出，因为 pcap将拒绝过滤器表达式。没什么大不了的，iftop是一个适度的程序。请参阅下面的编辑。

编辑:

刚查了iftop 1.0pre4版本的源码，看set_filter_code()没有这么明显的bug及其调用者packet_init()在 iftop.c .它正确退出并出现错误，但是...

错误 2，使用“-f”选项，但您的过滤器语法不正确:

jbm@sumo:~$ sudo iftop -f "port http 57787"
interface: eth0
IP address is: 192.168.1.67
MAC address is: 8c:89:a5:57:10:3c
set_filter_code: syntax error

没关系。

错误1，用“-F”代替“-f”，有问题:

jbm@sumo:~$ sudo iftop -F "port http 57787"

(一切似乎或多或少都可以，但随后退出程序)

Could not parse net/mask: port http 57787
interface: eth0
IP address is: 192.168.1.67
MAC address is: 8c:89:a5:57:10:3c

哎呀! “无法解析网络/掩码:端口 http 57787”!这是一个错误:它应该立即退出。