와스킹의 사건현장

HP-UX의 TCP Trace Dump는 nettl이라는 command로 제공

■ nettl 사용방법

$ nettl -stop
$ nettl -start
$ nettl -tn pduin pduout -e all -f [파일경로]
~ ~ 30초 경과
$ nettl -tf -e all

■ nettl command option
tn : trace on
tf : trace off
pduin : inbound protocol data unit
pduout : outbound protocol data unit
e : entity subsystem
e all: all subsystem
tm : trace max size
m : trace 기록에서 byte 수
n : 파일 개수 지정
f : 캡쳐한 바이너리를 저장할 파일을 지정하는 옵션

TCP Trace Dump는 어마어마한 양의 Data가 기록됨.
이를 해석하기 위해 Filter라는 옵션을 제공
자신이 원하는 Data만 수집할 수 있는 기능
임의의 filter파일을 만들어 옵션을 지정합니다.
덤프를 서버상에서 확인하는 명령어는 netfmt를 사용.

■ 서버상에서 TCP Dump 내용 확인하기

1. 캡쳐 파일에서 모든 패킷에 1-liner trace 분석 파일을 만듭니다
 

$ netfmt -Nnl1f /tmp/nfssvr.TRC0 > /tmp/trace.txt

2. 캡쳐 파일에서 모든 패킷의 자세한 trace 분석결과를 만듭니다
 

$ netfmt -Nnlf /tmp/nfssvr.TRC0 > /tmp/trace.txt

3. 패킷 필터를 사용하여 1-liner trace 분석 파일을 만듭니다.

  $ netfmt -Nnl1c /tmp/filterfile -f /tmp/nfssvr.TRC0 > /tmp/trace.txt

■ netfmt 패킷 필터를 활용한 내용 확인하기
1. nettl trace를 구동하는 호스트에 의해 IP 어드레스로 전송되거나 수신되는 패킷을 보려면
   filter ip_saddr 192.6.2.1
   filter ip_daddr 192.6.2.1

2. nettl trace를 구동하는 호스트에 의해 이더넷 어드레스로 전송되거나 수신되는 패킷을 보려면
   filter source 08-00-09-00-12-3c
   filter dest 08-00-09-00-12-3c

3. trace를 하고 있는 호스트로 전송되거나 수신되는 패킷을 보려면
  NFS 패킷을 보려면
   filter udp_sport 2049 /* UDP port 2049 = nfsd */
   filter udp_dport 2049 /* UDP port 2049 = nfsd */

4. trace를 하고 있는 호스트로 전송되거나 수신되는 패킷을 보려면
  텔넷 패킷만을 보려면
   filter tcp_sport 23 /* TCP port 23 = telnet */
   filter tcp_dport 23 /* TCP port 23 = telent */

※주의: 다중 필터가 사용되면, 논리적으로 " AND"되고 "OR"되지 않습니다
        filter ip_saddr 192.6.2.1
        filter ip_daddr 192.6.2.1
        filter tcp_sport 23 /* TCP port 23 = telnet */
      이 필터는 ip 어드레스 192.6.2.1을 갖는 시스템으로/에서 오직 텔넷 커넥션 요청을 포맷할 것입니다

"진행중인" 패킷 관찰을 위해서는
"진행중인" 패킷 관찰을 위한 nettl_netfmt 운영 방법:
다음 명령어가 스크린에 trace 파일로 표시하고, 출력을 파일로 만듭니다. -e 파라미터로 드라이버를 지정할 수 있습니다:

$ nettl -tn 0x30800000 -e all | netfmt -FNnlc /tmp/filterfile | tee /tmp/fmt0

 trace를 정지하기 위해서는
위에 시작된 nettl 명령어에 CTRL/C를 누르고 나서,

 $ nettl -tf -e all

포맷된 trace 파일은 /tmp/fmt0 파일이 됩니다. 이때 만들어진 어떤 raw파일도 없습니다.