Manpages

−a ネ ッ ト ワ ー ク と ブ ロ ー ド キ ャ ス ト ア ド レ ス を

DNS 名 に 変 換 す る 。

−c

−d コ ン パ イ ル さ れ た パ ケ ッ ト マ ッ チ ン グ コ ー ド を 人 間 が 読 め る 形 式 で 標 準 出 力 に ダ ン プ し 、 終 了 す る 。

−dd パ ケ ッ ト マ ッ チ ン グ コ ー ド を

−ddd パ ケ ッ ト マ ッ チ ン グ コ ー ド を 十 進 数 で ダ ン プ す る

(count が 先 行 す

−e 各 ダ ン プ 行 に リ ン ク レ ベ ル ヘ ッ ダ を 表 示 す る 。

−f 「 外 部 の 」 イ ン タ ー ネ ッ ト ア ド レ ス を シ ン ボ ル で は な く て 数 値 で 表 示 す る

−F フ ィ ル タ ー 条 件 式 の 指 示 入 力 と し て

file を 用 い る 。 こ の 後 ろ に コ マ

−i

interface を 監 視 す る 。 指 示 の な い 場 合 は tcpdump は シ ス テ ム の イ ン タ ー フ ェ イ ス の リ ス ト か ら 最 も 小 さ い 番 号 で 有 効 に な っ て い る も の (但 し ル ー プ バ ッ ク は 除 く )を 探 し 出 す 。 指 示 さ れ た イ ン タ ー フ ェ イ ス が 存 在 し な い 場 合 は も っ と も 近 い も の が 選 択 さ れ る 。

−l

’’tcpdump  −l  |  tee dat’’ or ’’tcpdump  −l   > dat  &  tail  −f  dat’’.

ア ド レ ス (ホ ス ト ア ド レ ス 、 ポ ー ト 番 号 な ど )を 名 前 に 変 換 し な い 。

ド メ イ ン 名 を 表 示 し な い 。 つ ま り こ れ を 使 用 し た 場 合 tcpdump は ’’nic.ddn.mil’’ と 表 示 す る か わ り に ’’nic’’ と 表 示 す る 。
−m

SMI MIB モ ジ ュ ー ル を フ ァ イ ル module か ら 読 み 込 む 。 複 数 の MIB モ ジ ュ ー ル を 読 み 込 む 目 的 で 、 こ の オ プ シ ョ ン を 複 数 回 使 用 す る こ と も 出 来 る 。

−O

パ ケ ッ ト マ ッ チ ン グ コ ー ド オ プ テ ィ マ イ ザ を 停 止 す る 。 こ れ は オ プ テ ィ マ イ ザ の バ グ を 疑 っ て い る 場 合 に の み 有 益 で あ る 。

’-p’ オ プ シ ョ ン は ’ether host {loca-lw-addr} or ether broadcast’ の 省 略 形 と し て は 使 用 で き な い 。

し な い の で 、 出 力 行 は 短 い も の と な る 。

’’-’’ を 指 定 し た 場 合 に は 標 準 入 力 が 利 用 さ れ る 。

ト )に 代 わ っ て snaplen バ イ ト を お の お の の パ ケ ッ ト か ら 取 り 出 し 利 用 す る 。 IP, ICMP, TCP, UDP に つ い て は 68 バ イ ト あ れ ば 十 分 だ が 、 ネ ー ム サ ー バ や NFS の 情 報 に は 足 り な い か も し れ な い (後 述 )。

snapshot 制 限 の た め に 後 ろ が 切 り 捨 て ら れ た パ ケ ッ ト は 出 力 時 に ’’[|proto]’’ の 形 式 で 示 さ れ る 。 こ こ で proto は 切 り 捨 て の 生 じ た レ ベ ル に 対 応 す る プ ロ ト コ ル の 名 前 で あ る 。 大 き な snapshot を 取 ろ う と す る と パ ケ ッ ト を 処 理 す る 時 間 は 増 加 し 、 ま た こ ち ら の ほ う が 重 要 だ が 、 バ ッ フ ァ に 溜 め る こ と が で き る 量 が 減 少 し て し ま う 点 に 注 意 す る こ と 。 す な わ ち パ ケ ッ ト が 失 な わ れ る 可 能 性 も あ る 。 プ ロ ト コ ル の 情 報 が 得 ら れ る 必 要 最 小 限 の snaplen と す る こ と 。

ダ ン プ 行 に 時 間 情 報 を 表 示 し な い 。

(ち ょ っ と だ け )詳 細 な 出 力 。 IP パ ケ ッ ト に お け る 生 存 時 間 (TTL) や サ ー ビ ス の 種 類 の 情 報 な ど を 表 示 す る 。

示 す る 。

さ れ る 。 −X オ プ シ ョ ン も 指 定 さ れ る と 、 telnet オ プ シ ョ ン は 16 進 表 示 で も 表 示 さ れ る 。

フ ァ イ ル は あ と で −r オ プ シ ョ ン を 用 い れ ば 表 示 す る こ と が で き る 。 file と し て ’-’ を 指 示 す る と 標 準 出 力 を 用 い る 。

expression(条 件 式 ) ダ ン プ す る パ ケ ッ ト の 種 類 を 選 択 す る 。 expression が 与 え ら れ な い と き は 、 ネ ッ ト ワ ー ク 上 の す べ て の パ ケ ッ ト を ダ ン プ す る 。 そ う で な け れ ば 、 expression が ’true’(真 ) と な る パ ケ ッ ト だ け を ダ ン プ す る 。

expressionは 一 つ 以 上 の primitive(要 素 ) か ら 成 る 。 要 素 は 一 つ 以 上 の 修 飾 子 を 先 行 す る 一 個 の id (名 前 で も 番 号 で も よ い )で あ る 。 修 飾 子 に は 三 つ の 種 類 が あ る :

能 な も の は host, net, port で あ る 。 例 : ’host foo’、 ’net 128.3’、 ’port 20’。 type 修 飾 子 が 無 い 場 合 は 、 host が 指 示 さ れ て い る も の と み な す 。

方 の 通 信 方 向 を 特 定 す る 。 方 向 と し て 指 示 で き る の は src, dst, src or dst, src and dst で あ る 。 例 、 ’src foo’、 ’dst net 128.3’、 ’src or dst port ftp-data’。 dir 修 飾 子 が 指 定 さ れ な い 場 合 は src or dst が 指 示 さ れ て い る も の と み な す 。 ’null’ リ ン ク 層 (す な わ ち slip の よ う な ポ イ ン ト ツ ー ポ イ ン ト プ ロ ト コ ル )に お い て は 、 方 向 を 指 定 す る 修 飾 子 と し て inbound と outbound も 利 用 可 能 で あ る 。

ether, fddi, mopdl, ip, ip6, arp, rarp, decnet, lat, sca, moprc, mopdl, icmp, icmp6, tcp, udp。 例 : ’ether src foor’、 ’arp net 128.3’、 ’tcp port 21’。 proto 修 飾 子 が 指 示 さ れ な い 場 合 は type と 矛 盾 し な い 範 囲 で 全 て の プ ロ ト コ ル が 指 示 さ れ て い る も の と み な す 。 例 : ’src foo’ は ’(ip or arp or rarp) src foo’ (こ の よ う な 書 き 方 は 文 法 あ や ま り だ が )を 意 味 し 、 ’net bar’ は ’(ip or arp or rarp) net bar’ を 意 味 し 、 ま た ’port 53’ は ’(tcp or udp) port 53’ を 意 味 す る 。

[’fddi’は 実 際 に は ’ether’ の 別 名 で あ る ;解 析 時 に ’’特 定 の ネ ッ ト ワ ー ク イ ン タ ー フ ェ イ ス が 利 用 す る デ ー タ リ ン ク 層 ’’と し て 扱 わ れ る 。 FDDI ヘ ッ ダ ー は イ ー サ ネ ッ ト 的 な ソ ー ス お よ び デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス を 含 み 、 ま た イ ー サ ネ ッ ト 的 な パ ケ ッ ト タ イ プ も 含 む の で 、 こ れ ら の FDDI フ ィ ー ル ド を イ ー サ ネ ッ ト の 同 類 と し て 選 別 で き る 。 FDDI ヘ ッ ダ に は そ の 他 の フ ィ ー ル ド も 含 ま れ る が 、 こ れ に つ い て は フ ィ ル タ の 条 件 式 で 明 示 的 に 指 示 す る こ と は で き な い 。 ] 上 記 に 加 え て 、 特 別 な ’要 素 ’を 示 す キ ー ワ ー ド が あ る 。 gateway, broadcast, less, greater と arithmtic expression(数 値 に よ る 条 件 式 )で あ る 。 こ れ ら に つ い て は こ の あ と で 記 述 す る 。 も っ と 複 雑 な フ ィ ル タ 条 件 式 は and, or, not と 各 要 素 の 組 合 せ で 表 現 で き る 。 例 :’host foo and not port ftp and not port ftp-data’。 明 示 的 な 修 飾 子 は 省 略 し て タ イ プ 数 を 減 ら す こ と が で き る 。 例 :’tcp dst port ftp or ftp-data or domain’ は ’tcp dst prot ftp or tcp dst port ftp-data or tcp dst prot domain’と 全 く 同 じ 意 味 で あ る 。 許 容 さ れ る 要 素 の 組 み 合 わ せ は 以 下 の 通 り 。
dst host host パ ケ ッ ト の IPv4/v6 デ ィ ス テ ィ ネ ー シ ョ ン フ ィ ー ル ド が host で あ る と き 真 。 ア ド レ ス で も 名 前 で も よ い
src host host パ ケ ッ ト の IPv4/v6 ソ ー ス フ ィ ー ル ド が host で あ る と き 真 。
host host パ ケ ッ ト の IPv4/v6 ソ ー ス ま た は IP/v4/v6 デ ィ ス テ ィ ネ ー シ ョ ン フ ィ ー ル ド が host で あ る と き 真 。 上 記 の 各 host を 示 す 条 件 式 に は ip、 arp、 rarp、 ip6 の い ず れ か を 付 加 し て も よ い 。

ip host host は 下 記 と 同 じ 。
ether proto \ip and host host も しhost の 名 前 が 複 数 の IP ア ド レ ス を 持 つ 時 は そ れ ぞ れ の ア ド レ ス に 一 致 す る 。

ether dst ehost イ ー サ ネ ッ ト デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス が ehost で あ る と き に 真 。 ehost は /etc/ethers か 数 値 で あ る (数 値 の フ ォ ー マ ッ ト に つ い て は ethers(3N) を 参 照 の こ と )。
ether src ehost イ ー サ ネ ッ ト ソ ー ス ア ド レ ス が ehost で あ る と き に 真 。
ether host ehost イ ー サ ネ ッ ト ソ ー ス ア ド レ ス か デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス が ehost で あ る と き に 真 。
gateway host パ ケ ッ ト が host を ゲ ー ト ウ ェ イ と し て い る と き に 真 。 す な わ ち 、 イ ー サ ネ ッ ト ソ ー ス /デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス は host で あ る が 、 IP ソ ー ス /デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス は host で は な い と き の こ と 。 host は 名 前 で あ り 、 ま た /etc/hosts と /etc/ethers の 両 方 に 記 載 さ れ て い な け れ ば な ら な い (こ の 条 件 式 は host / ehost そ れ ぞ れ を 名 前 か 番 号 で 記 述 す る

ether host ehost and not host host と 同 等 で あ る )。 こ の 文 法 は 今 の と こ ろ IPv6 を 有 効 に し た 設 定 で は 正 し く 動 作 し な い 。

dst net net パ ケ ッ ト の IPv4/v6 デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス が net ネ ッ ト ワ ー ク を 含 ん で い る と き に 真 。 net は /etc/networks に 記 載 さ れ る 名 前 か ネ ッ ト ワ ー ク 番 号 で あ る ( networks(4) を 参 照 )。
src net net パ ケ ッ ト の IPv4/v6 ソ ー ス ア ド レ ス が net ネ ッ ト ワ ー ク の も の で あ る と き に 真 。
net net パ ケ ッ ト の IPv4/v6 ソ ー ス /デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス が net ネ ッ ト ワ ー ク で あ る と き に 真 。
net net mask mask

IP ア ド レ ス が netmask で マ ス ク し て net に 一 致 す る と き に 真 。 src か dst で 修 飾 し て も よ い 。 こ の 文 法 は net が IPv6 の と き に は 不 正 で あ る こ と に 注 意 。

net net/len

IPv4/v6 ア ド レ ス が len ビ ッ ト の netmask で マ ス ク し て net に 一 致 す る と き に 真 。 src か dst で 修 飾 し て も よ い 。

dst port port パ ケ ッ ト が ip/tcp か ip/udp か ipv6/tcp か ipv6/udp で あ る 場 合 で 、 行 き 先 の port 番 号 が port で あ る と き に 真 。 Port は 番 号 の 数 値 か /etc/services に よ る 名 前 を 利 用 で き る ( tcp(4P) と udp(4P) を 参 照 の こ と )。 名 前 が 利 用 さ れ て い る 場 合 は port 番 号 と protocol の 両 方 で 照 合 さ れ る 。 番 号 か 多 重 に 定 義 さ れ て い る 名 前 が 利 用 さ れ て い る 場 合 は port 番 号 だ け が 照 合 さ れ る (例 : dst port 513 は tcp/login と udp/who の 両 方 の 通 信 を 表 示 す る し 、 port domain は tcp/domain と udp/domain の 両 方 を 表 示 す る )。
src port port パ ケ ッ ト が port 番 号 の ポ ー ト を ソ ー ス に し て い る と き 真 。
port port パ ケ ッ ト の ソ ー ス か デ ィ ス テ ィ ネ ー シ ョ ン ポ ー ト が port で あ る と き 真 。 こ の port を 指 定 す る 条 件 式 は tcp と udp の キ ー ワ ー ド を 付 加 し て も よ い :

tcp src port port はport を ソ ー ス と す る tcp の パ ケ ッ ト の み に 一 致 す る 。

less length パ ケ ッ ト が length 以 下 の と き に 真 。 こ れ は 下 記 と 同 じ :

len <= length.

greater length パ ケ ッ ト が length 以 上 の と き に 真 。 こ れ は 下 記 と 同 じ :

len >= length.

ip proto protocol パ ケ ッ ト が protocol 型 の プ ロ ト コ ル の IP パ ケ ッ ト ( ip(4P) を 参 照 )の も の で あ る と き 真 。 protocol と し て 利 用 で き る の は 数 値 と icmp、 igrp、 udp、 nd、 tcp で あ る 。 tcp、 udp、 icmp は キ ー ワ ー ド で も あ る の で 、 バ ッ ク ス ラ ッ シ ュ (\)で キ ー ワ ー ド と し て 解 釈 さ れ る の を 回 避 す る 必 要 が あ る 。 C-Shell で は \\ を 使 う 。 こ の 要 素 は プ ロ ト コ ル ヘ ッ ダ チ ェ イ ン を 追 跡 し な い こ と に 注 意 。
ip6 proto protocol パ ケ ッ ト が protocol型 の IPv6 パ ケ ッ ト で あ る と き に 真 。 こ の 要 素 は プ ロ ト コ ル ヘ ッ ダ チ ェ イ ン を 追 跡 し な い こ と に 注 意 。
ip6 protochain protocol パ ケ ッ ト が IPv6 パ ケ ッ ト で あ り 、 そ の プ ロ ト コ ル ヘ ッ ダ チ ェ イ ン の 中 に protocol型 の プ ロ ト コ ル ヘ ッ ダ が あ る 場 合 に 真 。 例 え ば 、 は プ ロ ト コ ル ヘ ッ ダ チ ェ イ ン に TCP プ ロ ト コ ル を 持 つ IPv6 パ ケ ッ ト に 一 致 す る 。 パ ケ ッ ト に は 、 例 え ば 認 証 ヘ ッ ダ 、 ル ー テ ィ ン グ ヘ ッ ダ 、 hop-by-hopヘ ッ ダ な ど が IPv6 ヘ ッ ダ と TCP ヘ ッ ダ の 間 に 含 ま れ る か も し れ な い 。 こ の 要 素 が 作 り 出 す BPF コ ー ド は 複 雑 で 、 tcpdumpの BPF 最 適 化 コ ー ド で 最 適 化 で き な い 。 そ の た め 、 少 し 遅 い か も し れ な い 。
ip protochain protocol

ip6 protochain protocol と 同 様 だ が 、 こ れ は IPv4 の た め の も の で あ る 。

ether broadcast パ ケ ッ ト が イ ー サ ネ ッ ト の ブ ロ ー ド キ ャ ス ト で あ る と き 真 。 ether は な く て も よ い 。
ip broadcast パ ケ ッ ト が IP ブ ロ ー ド キ ャ ス ト パ ケ ッ ト で あ る と き 真 。 こ れ は 全 て 0 と 全 て 1 の 両 方 の ブ ロ ー ド キ ャ ス ト 形 式 に 対 応 し 、 さ ら に サ ブ ネ ッ ト マ ス ク に も 対 応 し て い る 。
ether multicast パ ケ ッ ト が イ ー サ ネ ッ ト の マ ル チ キ ャ ス ト で あ る と き 真 。 ether は な く て も よ い 。 こ れ は ’ether[0] & 1 != 0’の 省 略 記 法 で あ る 。
ip multicast パ ケ ッ ト が IP の マ ル チ キ ャ ス ト で あ る と き 真 。
ip6 multicast パ ケ ッ ト が IPv6 マ ル チ キ ャ ス ト パ ケ ッ ト で あ る と き 真 。
ether proto protocol パ ケ ッ ト が ether の protocol 型 の も の で あ る と き 真 。 protocol に は 番 号 か ip、 ip6、 arp、 rarp の 名 前 が 利 用 可 能 。 こ れ ら の 識 別 子 は キ ー ワ ー ド で も あ る の で 、 バ ッ ク ス ラ ッ シ ュ (\)で キ ー ワ ー ド と し て 解 釈 さ れ る の を 回 避 す る 必 要 が あ る 。 [ FDDI (た と え ば ’fddi protocol arp’)の 場 合 、 プ ロ ト コ ル の 識 別 方 法 は 802.2 Logical Link Control (LLC) ヘ ッ ダ ー に よ る 。 そ れ は 通 常 は FDDI ヘ ッ ダ ー の 先 頭 に 置 か れ て い る 。 tcpdump は プ ロ ト コ ル 識 別 子 で フ ィ ル タ ー す る 場 合 に 、 全 て の FDDI パ ケ ッ ト は LLC ヘ ッ ダ ー を 持 っ て い て 、 そ の LLC ヘ ッ ダ ー は SNAP と 呼 ば れ る 形 式 に な っ て い る も の と み な す 。 ]
decnet src host

DECNET に お い て ソ ー ス ア ド レ ス が ’’10.123’’の よ う な ア ド レ ス や DECNETの ホ ス ト ネ ー ム の 形 式 で 指 示 さ れ る host と 一 致 す る と き 真 。 [DECNETの ホ ス ト ネ ー ム 形 式 は DECNETに 接 続 さ れ た ultrix シ ス テ ム に お い て の み 利 用 可 能 で あ る 。 ]

decnet dst host

DECNETに お い て デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス が host に 一 致 す る と き 真 。

decnet host host

DECNETに お い て 、 ソ ー ス ま た は デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス が host に 一 致 す る と き に 真 。

ip, ip6, arp, rarp, decnet 下 記 に お い て :

ether proto p

p を そ の い ず れ か の プ ロ ト コ ル と す る の と 同 等 で あ る 。

lat, moprc, mopdl 下 記 に お い て :

ether proto p

p を そ の い ず れ か の プ ロ ト コ ル と す る の と 同 等 で あ る 。 tcpdump は こ れ ら の プ ロ ト コ ル の 解 析 方 法 は 正 確 に は 知 ら な い 点 に 注 意 す る こ と 。

tcp, udp, icmp 下 記 に お い て :

ip proto pip6 proto p

p を そ の い ず れ か の プ ロ ト コ ル と す る の と 同 等 で あ る 。

expr relop expr 関 係 式 が 成 り 立 て ば 真 。 relop(演 算 子 )は >、 <、 >=、 <=、 =、 != の い ず れ か 一 つ で あ り 、 expr(表 現 ) は 整 定 数 に よ る 数 値 表 現 (表 現 方 法 は 標 準 的 な C の 文 法 に し た が う )、 標 準 的 な 二 項 演 算 子 [+、 -、 *、 /、 &、 |]、 長 さ 演 算 子 、 パ ケ ッ ト デ ー タ ア ク セ ス 演 算 子 の い ず れ か 。 パ ケ ッ ト 内 の デ ー タ に 対 し て 適 用 す る に は こ の よ う に 記 述 す る :

proto [ expr : size ]

proto は ether、 fddi、 ip、 arp、 rarp、 tcp、 udp、 icmp、 ip6 の い ず れ か で 操 作 対 象 の プ ロ ト コ ル 層 を 指 示 す る 。 tcp, udp と そ の 他 の 上 位 プ ロ ト コ ル 層 は IPv4 で の み 利 用 で き 、 IPv6で は 利 用 で き な い こ と に 注 意 。 (こ れ は 将 来 修 正 さ れ る だ ろ う ) 指 示 さ れ た プ ロ ト コ ル 層 に つ い て の バ イ ト オ フ セ ッ ト は expr で 指 定 す る 。 size を 指 示 す る 場 合 は 注 目 す る フ ィ ー ル ド で の バ イ ト 数 で 指 示 す る が 、 そ れ は one、 two ま た four の い ず れ か を 用 い る 。 指 示 の な い 場 合 は one で あ る と み な す 。 長 さ 演 算 子 は キ ー ワ ー ド len で 示 さ れ 、 パ ケ ッ ト 長 を 与 え る 。 た と え ば 、 ’ether[0] & 1 != 0’と い う 条 件 式 は す べ て の マ ル チ キ ャ ス ト に よ る 通 信 を と ら え る 。 ’ip[0] & 0xf != 5’ と い う 条 件 式 は す べ て の オ プ シ ョ ン 付 き の IP パ ケ ッ ト を と ら え る 。 ’ip[6:2] & 0x1fff = 0’は フ ラ グ メ ン ト 化 さ れ て い な い デ ー タ グ ラ ム か 0 番 の (最 初 の )フ ラ グ メ ン ト だ け を 表 示 す る 。 な お 、 こ の 条 件 は tcp と udp へ の 適 用 を 暗 示 し て い る 。 さ ら に tcp[0] は TCP ヘ ッ ダ の 最 初 の バ イ ト を 意 味 す る が 、 フ ラ グ メ ン ト の 先 頭 の バ イ ト で は あ り え な い 。 要 素 を 複 合 さ せ て 用 い る 場 合 : 括 弧 で グ ル ー プ 分 け す る 要 素 と 演 算 子 (括 弧 は シ ェ ル に と っ て も 特 別 な 意 味 を 持 つ の で た ぶ ん エ ス ケ ー プ し な け れ ば な ら な い だ ろ う )。 否 定 (’!’ or ’not’). 結 合 (’&&’ or ’and’). 択 一 (’||’ or ’or’). 否 定 は も っ と も 高 い 優 先 度 を も つ 。 択 一 と 結 合 は 同 等 の 優 先 度 を 持 ち 、 左 か ら 右 へ 評 価 さ れ る 。 結 合 は 併 記 す る だ け で な く 明 示 的 な and ト ー ク ン が 必 要 な こ と に 注 意 す る こ と 。 キ ー ワ ー ド な し で 識 別 子 が あ ら わ れ た 場 合 、 直 前 に あ ら わ れ た キ ー ワ ー ド を 伴 っ て い る と み な さ れ る 。 た と え ば 、

not host vs and ace は
not host vs and host ace の 省 略 で あ り 、 こ れ は
not ( host vs or ace ) と は 違 う 。

tcpdump に 渡 す 条 件 式 は 都 合 の よ い よ う に 、 単 一 と し て も 複 数 と し て も よ い 。 一 般 に シ ェ ル の メ タ キ ャ ラ ク タ を 含 む よ う な 条 件 式 の 場 合 は 単 一 の ク オ ー ト し た 引 数 と し て 渡 す の が よ い 。 複 数 の 引 数 は 評 価 の 直 前 に 空 白 で 結 合 さ れ る 。

例

ホ ス ト sundown に か か わ る 全 て の 入 出 力 パ ケ ッ ト を 表 示 す る :

tcpdump host sundown ホ ス トhelios と hot あ る い は ace と の 通 信 を 表 示 す る :
tcpdump host helios and \( hot or ace \) ホ ス トace と helios を 除 く 全 て の ホ ス ト と の IPパ ケ ッ ト を 表 示 す る :
tcpdump ip host ace and not helios ロ ー カ ル ネ ッ ト の ホ ス ト 群 と ネ ッ ト ワ ー ク Berkeley の ホ ス ト 群 と の 通 信 を 表 示 す る :
tcpdump net ucb-ether イ ン タ ー ネ ッ ト へ の ゲ ー ト ウ ェ イ の snup を 通 過 す る 全 て の ftp 通 信 を 表 示 す る (条 件 式 は シ ェ ル が 括 弧 を (誤 っ て )解 釈 す る の を 避 け る た め に ク オ ー ト さ れ て い る 点 に 注 意 せ よ ):
tcpdump ’gateway snup and (port ftp or ftp-data)’ ロ ー カ ル ホ ス ト へ の 入 出 力 の 通 信 を 除 外 し て 表 示 す る (他 の ネ ッ ト ワ ー ク へ の ゲ ー ト ウ ェ イ で あ る と し て 、 ロ ー カ ル ネ ッ ト ワ ー ク を 除 外 す る 例 ):
tcpdump ip and not net localnet ロ ー カ ル ホ ス ト 以 外 が 関 わ る TCP 通 信 の TCP ス タ ー ト と エ ン ド の パ ケ ッ ト (SYN と FIN の パ ケ ッ ト )を 表 示 す る :
tcpdump ’tcp[13] & 3 != 0 and not src and dst net localnet’ ゲ ー ト ウ ェ イ snup を 通 過 す る 576 バ イ ト 以 上 の IP パ ケ ッ ト を 表 示 す る :
tcpdump ’gateway snup and ip[2:2] > 576’ イ ー サ ネ ッ ト の ブ ロ ー ド キ ャ ス ト ま た は マ ル チ キ ャ ス ト を 必 要 と し な い IP の ブ ロ ー ド キ ャ ス ト ま た は マ ル チ キ ャ ス ト を 表 示 す る :
tcpdump ’ether[0] & 1 = 0 and ip[16] >= 224’

echo 要 求 /応 答 (つ ま り ping の パ ケ ッ ト )以 外 の す べ て の ICMP パ ケ ッ ト を 表 示 す る :

tcpdump ’icmp[0] != 8 and icmp[0] != 0"

出 力 形 式

tcpdump の 出 力 は プ ロ ト コ ル に 依 存 す る 。 下 記 は 大 部 分 の 様 式 の 簡 単 な 解 説 と 例 で あ る 。 リ ン ク レ ベ ル ヘ ッ ダ

’-e’ オ プ シ ョ ン が 指 示 さ れ て い る 場 合 、 リ ン ク レ ベ ル ヘ ッ ダ が 表 示 さ れ る 。 イ ー サ ネ ッ ト で は ソ ー ス お よ び デ ィ ス テ ィ ネ ー シ ョ ン の ア ド レ ス と パ ケ ッ ト 長 が 表 示 さ れ る 。

FDDI の ネ ッ ト ワ ー ク に お い て は ’-e’ オ プ シ ョ ン に よ り tcpdump は 、 ソ ー ス お よ び デ ィ ス テ ィ ネ ー シ ョ ン の ア ド レ ス と パ ケ ッ ト 長 か ら な る フ レ ー ム 制 御 フ ィ ー ル ド を 表 示 す る 。 (フ レ ー ム 制 御 フ ィ ー ル ド は パ ケ ッ ト の 残 り の 部 分 の 解 釈 の 制 御 を お こ な う )。 (IP デ ー タ グ ラ ム を 含 む よ う な )通 常 の パ ケ ッ ト は 優 先 度 0 か ら 7 を 持 つ ’async’ パ ケ ッ ト で あ る ;た と え ば ’async 4’。 こ の よ う な パ ケ ッ ト は 802.2 LLC を 含 む と み な さ れ る 。 LLCヘ ッ ダ は そ れ が ISO デ ー タ グ ラ ム や い わ ゆ る SNAP パ ケ ッ ト で な い な ら ば 、 表 示 さ れ る 。

(注 :以 下 の 記 述 は RFC-1144 に よ る SLIP 圧 縮 ア ル ゴ リ ズ ム を 理 解 し て い る も の と み な し て 記 述 し て あ る )。

SLIP 接 続 で は 、 方 向 指 示 (’’I’’が 入 力 、 ’’O’’が 出 力 )、 パ ケ ッ ト タ イ プ と 圧 縮 情 報 が 表 示 さ れ る 。 最 初 に パ ケ ッ ト タ イ プ が 表 示 さ れ る 。 タ イ プ に は ip、 utcp、 ctcp の 三 種 類 が あ る 。 ip パ ケ ッ ト に つ い て こ れ 以 上 の リ ン ク 情 報 は 表 示 さ れ な い 。 TCPパ ケ ッ ト は 接 続 識 別 子 が 次 に 表 示 さ れ る 。 パ ケ ッ ト が 圧 縮 さ れ て い る 場 合 は そ の 符 号 化 さ れ た ヘ ッ ダ が 表 示 さ れ る 。 *S+n、 *SA+n と 表 示 さ れ る 特 別 な 状 態 も あ る 。 こ こ で n は シ ー ケ ン ス 番 号 (ま た は シ ー ケ ン ス 番 号 と ack)が 何 回 変 更 さ れ た か を 示 す 。 特 別 な 場 合 で な け れ ば 、 ゼ ロ か ま た は 変 更 の 回 数 が 出 力 さ れ る 。 変 更 は U(urgent pointer)、 W(windows)、 A(ack)、 S(sequence number)、 I(packet ID)に 差 分 (+n か -n)ま た は 新 し い 値 (=n)の 組 合 せ で 示 さ れ る 。 最 後 に パ ケ ッ ト の デ ー タ す べ て と 圧 縮 さ れ た ヘ ッ ダ の 長 さ が 表 示 さ れ る 。 こ の 例 は 明 示 さ れ た 接 続 識 別 子 を も つ 出 力 さ れ る 圧 縮 TCPパ ケ ッ ト を 示 す 。 ack は 6回 更 新 さ れ 、 シ ー ケ ン ス 番 号 は 49で あ り パ ケ ッ ト の IDは 6で あ る ; 3バ イ ト の デ ー タ と 6バ イ ト の 圧 縮 ヘ ッ ダ を 持 つ

O ctcp * A+6 S+49 I+6 3 (6)

ARP/RARP パ ケ ッ ト

arp/rarp 出 力 は 要 求 の タ イ プ と そ の 引 数 を 表 示 す る 。 フ ォ ー マ ッ ト そ れ 自 体 が 自 身 の 内 容 の 説 明 と な る 。 こ の 短 い 例 は ホ ス ト rtsg か ら csam へ の ’rlogin’ の 開 始 時 の も の で あ る 。

arp who-has csam tell rtsg
arp reply csam is-at CSAM一 行 目 は

rtsg が イ ン タ ー ネ ッ ト ホ ス ト csam の イ ー サ ネ ッ ト ア ド レ ス を 尋 ね る arp パ ケ ッ ト を 送 信 し た 様 子 。 csam は イ ー サ ネ ッ ト ア ド レ ス を 返 信 し て い る (こ の 例 で イ ー サ ネ ッ ト ア ド レ ス は 大 文 字 で 、 イ ン タ ー ネ ッ ト ア ド レ ス は 小 文 字 で 表 示 さ れ て い る )。 こ の 例 は tcpdump −n で 実 行 す る と こ の よ う に 簡 略 化 さ れ る :

arp who-has 128.3.254.6 tell 128.3.254.68
arp reply 128.3.254.6 is-at 02:07:01:00:01:c4

Tcpdump −e で 実 行 す る と 最 初 の パ ケ ッ ト が ブ ロ ー ド キ ャ ス ト で 二 番 目 は point-to-point で あ る こ と が 見 て と れ る :

RTSG Broadcast 0806  64: arp who-has csam tell rtsg
CSAM RTSG 0806  64: arp reply csam is-at CSAM最 初 の パ ケ ッ ト は

source の イ ー サ ネ ッ ト ア ド レ ス が RTSG で 、 デ ィ ス テ ィ ネ ー シ ョ ン が イ ー サ ネ ッ ト の ブ ロ ー ド キ ャ ス ト で あ り 、 タ イ プ フ ィ ー ル ド は 16 進 の 0806(ETHER_ARP)、 全 長 が 64 バ イ ト で あ る こ と が わ か る 。

TCP パ ケ ッ ト

(注 : 以 下 は RFC-793 で 記 述 さ れ る TCPプ ロ ト コ ル を 理 解 し て い る も の と み な し て 記 述 し て あ る 。 も し こ の プ ロ ト コ ル に 通 じ て い な い よ う な ら 、 こ の 記 述 だ け で な く 、 tcpdump そ の も の も 役 に 立 た な い だ ろ う が 。 ) 一 般 的 な フ ォ ー マ ッ ト は 下 記 の 通 り :

src > dst: flags data-seqno ack window urgent options

src と dst は ソ ー ス と デ ィ ス テ ィ ネ ー シ ョ ン と な る IPア ド レ ス と ポ ー ト 番 号 で あ る 。 flags は S(SYN)、 F(FIN)、 P(PUSH)か R(RST) の 組 合 せ か 一 つ の ’.’(フ ラ グ な し )で あ る 。 data-seqno は こ の パ ケ ッ ト に 含 ま れ る デ ー タ の シ ー ケ ン ス 空 間 の 一 部 を 示 す (下 記 の 例 を 参 照 )。 ack は こ の 接 続 に お け る 次 の 期 待 さ れ る 応 答 デ ー タ の シ ー ケ ン ス 番 号 。 window は こ の 接 続 に お け る 応 答 に 対 し て 用 意 さ れ て い る バ ッ フ ァ 空 間 の バ イ ト 数 。 urg は こ の パ ケ ッ ト に ’urgent’ デ ー タ が 含 ま れ る こ と を 示 す 。 options は tcp の オ プ シ ョ ン で <>で 囲 ま れ る (例 <mss 1024>)。

src、 dst と flags は か な ら ず 表 示 さ れ る 。 他 の フ ィ ー ル ド は パ ケ ッ ト の TCP プ ロ ト コ ル ヘ ッ ダ に 依 存 す る の で 必 要 な 場 合 の み 表 示 さ れ る 。 こ れ は ホ ス ト rtsg か ら csam へ の rlogin の 開 始 時 の 一 部 。

rtsg.1023 > csam.login: S 768512:768512(0) win 4096 <mss 1024>
csam.login > rtsg.1023: S 947648:947648(0) ack 768513 win 4096 <mss 1024>
rtsg.1023 > csam.login: . ack 1 win 4096
rtsg.1023 > csam.login: P 1:2(1) ack 1 win 4096
csam.login > rtsg.1023: . ack 2 win 4096
rtsg.1023 > csam.login: P 2:21(19) ack 1 win 4096
csam.login > rtsg.1023: P 1:2(1) ack 21 win 4077
csam.login > rtsg.1023: P 2:3(1) ack 21 win 4077 urg 1
csam.login > rtsg.1023: P 3:4(1) ack 21 win 4077 urg 1一 行 目 は

rtsg の TCP ポ ー ト 番 号 1023 か ら csam の login ポ ー ト へ の 送 信 パ ケ ッ ト の 表 示 で あ る 。 S は SYN フ ラ グ が セ ッ ト さ れ て い る こ と を 示 す 。 パ ケ ッ ト の シ ー ケ ン ス 番 号 は 768512 で こ の パ ケ ッ ト は デ ー タ を 含 ま な い 。 (こ の よ う に nbytes バ イ ト の ユ ー ザ デ ー タ を 含 む シ ー ケ ン ス 番 号 first か ら 、 last (last は 含 ま れ な い )を 示 す た め に ’first:last(nbytes)’と 表 記 す る )。 ま た こ の パ ケ ッ ト に は ack は 設 定 さ れ て お ら ず 、 受 信 window は 4096 バ イ ト 、 最 大 セ グ メ ン ト サ イ ズ (mss)オ プ シ ョ ン が 1024 バ イ ト に 設 定 さ れ て い た 。 こ れ に 対 し て 、 csam は rtsg の SYN に 対 す る ack を 含 む 他 は 同 等 の 内 容 の パ ケ ッ ト を 返 し て い る 。 そ こ で 、 rtsg は csam の SYN に ack 応 答 を 返 す 。 ’.’ は フ ラ グ が セ ッ ト さ れ て い な い こ と を 示 す 。 こ の パ ケ ッ ト に は デ ー タ が 含 ま れ な い の で 、 シ ー ケ ン ス 番 号 も な い 。 ack 応 答 の シ ー ケ ン ス 番 号 は 小 さ な 整 数 1 で あ る 点 に 注 意 す る こ と 。 最 初 に tcp の 「 会 話 」 を 見 い だ す と 、 tcpdump は そ の パ ケ ッ ト の シ ー ケ ン ス 番 号 を 出 力 す る 。 そ の 会 話 の パ ケ ッ ト か ら は 、 そ の シ ー ケ ン ス 番 号 と 初 期 化 さ れ た シ ー ケ ン ス 番 号 と の 差 異 が 表 示 さ れ る 。 こ れ は 最 初 以 外 の シ ー ケ ン ス 番 号 は そ の 会 話 の デ ー タ グ ラ ム に お け る 相 対 的 な バ イ ト 位 置 と し て 解 釈 で き る こ と を 意 味 す る (各 デ ー タ グ ラ ム は 1 か ら 始 ま る )。 ’-S’ オ プ シ ョ ン は こ の 機 能 を 無 視 し て 、 本 来 の シ ー ケ ン ス 番 号 を 出 力 す る 。

6 行 目 で rtsg は scam へ 19 バ イ ト (rtsg か ら csam の 方 向 へ 、 2 バ イ ト 目 か ら 20 バ イ ト 目 ま で ) の デ ー タ を 送 る 。 こ の パ ケ ッ ト に は PUSH フ ラ グ が 設 定 さ れ て い る 。 7 行 目 で 、 csam は rtsg が 送 信 し た デ ー タ を 受 信 し た 、 と 言 っ て い る が 、 こ れ に は 21 バ イ ト 目 は 含 ま れ な い 。 csam の 受 信 window が 19 バ イ ト 小 さ く な っ て い る こ と か ら 、 こ の デ ー タ は ソ ケ ッ ト バ ッ フ ァ に 留 ま っ て い る と 推 測 さ れ る 。 csam は ま た 1バ イ ト の デ ー タ を rtsg に 送 信 す る 。 8 行 目 と 9 行 目 と で csam は urgent お よ び pushed 付 き の パ ケ ッ ト 2バ イ ト を rtsg へ 送 信 し て い る 。 も し 、 snapshot が 小 さ す ぎ て tcpdump が TCP ヘ ッ ダ の 全 て を 捉 え ら れ な か っ た 場 合 は 、 で き る だ け の 解 釈 を し て 、 そ の 残 り に は 解 釈 不 能 だ っ た も の が あ る こ と を 示 す た め に ’’[|tcp]’’と 表 示 す る 。 ヘ ッ ダ に 意 味 不 明 な オ プ シ ョ ン (た と え ば 、 小 さ す ぎ た り 、 ヘ ッ ダ よ り も 長 か っ た り す る length と か )が 設 定 さ れ て い た 場 合 は 、 tcpdump は ’’[bad opt]’’と 表 示 し 、 そ れ 以 上 の オ プ シ ョ ン 解 析 を 中 止 す る (そ れ が ど こ か ら 始 め ら れ る か わ か ら な い の で )。 ヘ ッ ダ 長 が オ プ シ ョ ン を 送 信 し た こ と を 示 し て い る の に 、 IP デ ー タ グ ラ ム 長 は そ こ に オ プ シ ョ ン を 含 め ら れ な い こ と を 示 す 場 合 は tcpdump は ’’[bad hdr length]’’と 表 示 す る 。

UDP パ ケ ッ ト

UDP は こ の rwho の パ ケ ッ ト で 説 明 す る :

actinide.who > broadcast.who: udp 84 こ れ は ホ ス ト actinide の who の ポ ー ト か ら UDP デ ー タ グ ラ ム が ホ ス ト broadcast す な わ ち イ ン タ ー ネ ッ ト ブ ロ ー ド キ ャ ス ト ア ド レ ス の who の ポ ー ト へ 送 ら れ た こ と を 表 示 し て い る 。 パ ケ ッ ト は ユ ー ザ デ ー タ 84 バ イ ト を 含 ん で い る 。 い く つ の か の UDP サ ー ビ ス に 関 し て は (そ の ソ ー ス ま た は デ ィ ス ネ ー シ ョ ン の ポ ー ト 番 号 よ り )解 釈 す る こ と が で き 、 よ り 上 位 の 層 に お け る プ ロ ト コ ル 情 報 を 表 示 す る 。 特 に ド メ イ ン ネ ー ム サ ー ビ ス 要 求 (RFC-1034/1035)や NFS に つ い て の Sun RPC (RFC-1050)に つ い て 出 力 さ れ る 。

UDP ネ ー ム サ ー ビ ス 要 求

(注 :以 下 は RFC-1035 で 記 述 さ れ る ド メ イ ン ネ ー ム サ ー ビ ス プ ロ ト コ ル を 理 解 し て い る も の と み な し て 記 述 し て い る 。 も し こ の プ ロ ト コ ル に 通 じ て い な い よ う な ら 、 以 下 の 記 述 は ち ん ぷ ん か ん ぷ ん か も し れ な い 。 ) ネ ー ム サ ー バ の 要 求 は 、

src > dst: id op? flags qtype qclass name (len)
h2opolo.1538 > helios.domain: 3+ A? ucbvax.berkeley.edu. (37) の よ う な 形 式 で あ る 。 ホ ス トh2opolo は helios の ド メ イ ン ネ ー ム サ ー バ に 対 し て 、 ucb-bax.berkeley.edu. と い う 名 前 に つ い て の ア ド レ ス レ コ ー ド (qtype=A)を 尋 ね る 。 問 い 合 わ せ の id は ’3’。 ’+’は 再 帰 可 能 (recursion desired)フ ラ グ が 設 定 さ れ て い る こ と を 示 す 。 問 い 合 わ せ は UDP と IP の ヘ ッ ダ は 含 ま め ず に 37バ イ ト あ る 。 問 合 せ は 標 準 的 な Query な の で op フ ィ ー ル ド は 省 略 さ れ て い る 。 も し 、 op フ ィ ー ル ド を 持 つ な ら 、 そ れ が な ん で あ れ 、 ’3’ と ’+’ の 間 に 表 示 す る 。 ま た 同 様 に 、 問 合 せ ク ラ ス (qclass)も 標 準 的 な C_IN な の で 、 省 略 さ れ て い る 。 ほ か の 問 合 せ ク ラ ス の 場 合 は ’A’ に 続 い て 表 示 す る 。 例 外 的 な も の を 検 出 し た 場 合 、 追 加 の フ ィ ー ル ド を [ ] で 囲 ん で 表 示 す る だ ろ う :も し 問 合 せ (query)に 回 答 、 ネ ー ム サ ー バ 、 権 威 セ ク シ ョ ン が 含 ま れ る 場 合 、 ancount, nscount, arcount は そ れ ぞ れ n を カ ウ ン ト 数 と し て 、 ’[na]’、 ’[nn]’ か ’[nau]’ の よ う に 表 示 さ れ る 。 も し 、 第 二 お よ び 第 三 バ イ ト に い く つ か の 応 答 bitが 設 定 さ れ て い る (AA、 RA か ま た は rcode)場 合 か 、 ’must be zero’ ビ ッ ト が 設 定 さ れ て い る 場 合 は ’[b2&3=x]’と 表 示 す る 。 こ こ で x は ヘ ッ ダ の 第 二 お よ び 第 三 バ イ ト の 16 進 表 現 で あ る 。

UDP ネ ー ム サ ー バ 応 答 ネ ー ム サ ー バ か ら の 応 答 は 、

src > dst: id op rcode flags a/n/au type class data (len)

helios.domain > h2opolo.1538: 3 3/3/7 A 128.32.137.3 (273)
helios.domain > h2opolo.1537: 2 NXDomain* 0/1/0 (97)の よ う な 形 式 で あ る 。最 初 の 例 で は 、

helios は h2opolo の id 3 の 要 求 に 三 個 の 回 答 レ コ ー ド 、 三 個 の ネ ー ム サ ー バ レ コ ー ド と 七 個 の 権 威 レ コ ー ド を 返 答 し て い る 。 最 初 の 回 答 は A レ コ ー ド で 、 こ の デ ー タ は イ ン タ ー ネ ッ ト ア ド レ ス の 128.32.137.3 で あ る 。 応 答 の サ イ ズ は UDP と IP の ヘ ッ ダ は 含 ま ず に 273 バ イ ト で あ る 。 (queryの ) op と response code(こ の 場 合 は NoError)は 、 A レ コ ー ド の ク ラ ス (C_IN)と 同 様 に 省 略 さ れ て い る 。 次 の 例 は helios は ド メ イ ン が 存 在 し な い 、 と い う response code (NXDomain) で 回 答 は な し 、 ネ ー ム サ ー バ は 一 個 、 権 威 レ コ ー ド も な し 、 と い う 返 答 を し て い る 。 ’*’ は authoritative answer ビ ッ ト が 設 定 さ れ て い る こ と を 示 す 。 回 答 が な い の で 、 type と ク ラ ス お よ び デ ー タ は 表 示 さ れ な い 。 ほ か の フ ラ グ は ’−’(RA(再 帰 可 )が 設 定 さ れ て い な い )、 ’|’TC(ま る め ら れ た メ ッ セ ー ジ )が 設 定 さ れ て い る 。 ’question’ セ ク シ ョ ン が 一 つ で な い 場 合 に は 、 ’[nq]’と 出 力 す る 。 ネ ー ム サ ー バ の 応 答 は デ フ ォ ル ト の snaplen で あ る 68 バ イ ト よ り も 大 き く な り が ち な の で 、 そ の パ ケ ッ ト を 表 示 す る の に 十 分 な だ け の 情 報 を 捉 え き れ な い こ と が あ る 。 ネ ー ム サ ー ビ ス の 通 信 を 厳 密 に 解 析 し た い と き は 、 −s フ ラ グ を 利 用 し て snaplen を 拡 張 す る べ き で あ る 。 `-s 128’く ら い が 妥 当 で あ ろ う 。

SMB/CIFS 展 開

tcpdump は UDP/137, UDP/138, TCP/139 に 対 す る 比 較 的 大 規 模 な SMB/CIFS/NBT デ コ ー ド 機 能 を 持 つ 。 IPX と NetBEUI SMB を デ コ ー ド す る 要 素 も あ る 。 デ フ ォ ル ト で は 比 較 的 小 規 模 な デ コ ー ド が 行 わ れ 、 -v オ プ シ ョ ン を 用 い る と 遥 か に 詳 細 な デ コ ー ド が 行 わ れ る 。 -v オ プ シ ョ ン 付 き の 場 合 、 ひ と つ の SMB パ ケ ッ ト が 1 画 面 以 上 の 情 報 を 出 す 場 合 も あ る の で 、 本 当 に 必 要 な 場 合 の み -v オ プ シ ョ ン を つ け る こ と 。

UNICODE 文 字 列 を 含 む SMB セ ッ シ ョ ン を デ コ ー ド す る 場 合 は 、 環 境 変 数 USE_UNICODE に 1 を セ ッ ト し た ほ う が い い か も し れ な い 。 UNICODE 文 字 列 を 自 動 検 出 す る パ ッ チ は 歓 迎 す る 。

SMB パ ケ ッ ト の 形 式 や all teフ ィ ー ル ド が 何 を 意 味 す る か の 情 報 は 、 www.cifs.org か samba.org ミ ラ ー サ イ ト の pub/samba/specs/ デ ィ レ ク ト リ を 参 照 の こ と 。 SMB パ ッ チ は Andrew Tridgell (tridge [AT] samba.org) が 書 い た 。

NFS 要 求 と 回 答

Sun NFS(Network File System)の 要 求 と 応 答 は 次 の よ う に 出 力 さ れ る :

src.xid > dst.nfs: len op args
src.nfs > dst.xid: reply stat len op results

sushi.6709 > wrl.nfs: 112 readlink fh 21,24/10.73165
wrl.nfs > sushi.6709: reply ok 40 readlink "../var"
sushi.201b > wrl.nfs:
     144 lookup fh 9,74/4096.6878 "xcolors"
wrl.nfs > sushi.201b:

-v(verbose) フ ラ グ が 与 え ら れ て い る 場 合 、 追 加 の 情 報 も 出 力 さ れ る 。 例 :

sushi.1372a > wrl.nfs:
     148 read fh 21,11/12.195 8192 bytes @ 24576
wrl.nfs > sushi.1372a:
     reply ok 1472 read REG 100664 ids 417/0 sz 29388

(−v は IP ヘ ッ ダ の TTL と ID、 フ ラ グ メ ン テ ー シ ョ ン フ ィ ー ル ド も 表 示 す る が 、 こ の 例 で は 省 略 し て い る )。 一 行 目 で は 、 sushi は wrl に 対 し て 、 file 21,11/12.195 の バ イ ト オ フ セ ッ ト 24576 か ら 8192 バ イ ト 読 み 出 し 要 求 を 出 し て い る 。 Wrl は ’ok’ を 返 し て い る ; 二 行 目 に 表 示 さ れ て い る こ の パ ケ ッ ト は フ ラ グ メ ン ト 化 さ れ た 返 答 の 一 番 目 の パ ケ ッ ト で あ る た め 、 1472 バ イ ト の み で あ る (残 り の バ イ ト は そ の 後 の フ ラ グ メ ン ト と し て 続 く が 、 そ れ ら の フ ラ グ メ ン ト は NFS ヘ ッ ダ も UDP ヘ ッ ダ も 持 た な い の で 、 フ ィ ル タ 条 件 式 の 指 定 次 第 で 表 示 さ れ な い こ と が あ る )。 ま た −v フ ラ グ が あ た え ら れ て い る こ と に よ り 、 い く つ か の フ ァ イ ル の 属 性 も 表 示 さ れ る (フ ァ イ ル デ ー タ に 付 加 し て 返 答 さ れ る ): フ ァ イ ル の タ イ プ (’’REG’’ は 普 通 の フ ァ イ ル )、 フ ァ イ ル の モ ー ド (八 進 で )、 uid と gid、 ま た フ ァ イ ル の サ イ ズ な ど 。

−v フ ラ グ が 複 数 与 え ら れ る と (−vvの こ と )も っ と 詳 細 な 情 報 が 出 力 さ れ る 。

NFS の 要 求 は と て も 大 き い の で 、 snaplen を 増 加 し な い と 十 分 な 情 報 が 表 示 で き な い か も し れ な い こ と に 注 意 す る こ と 。 NFS の 通 信 を 監 視 す る 場 合 は ’−s 192’ を 試 し て み る と よ い 。

NFSの 返 答 パ ケ ッ ト は RPC操 作 に よ っ て 識 別 す る こ と が で き な い 。 し か し な が ら 、 tcpdump は ’’最 近 の ’’要 求 を 覚 え て お い て 、 返 答 が そ の ト ラ ン ザ ク シ ョ ン IDに 一 致 す る か 調 べ る 。 応 答 が 対 応 す る 要 求 の 近 く に 通 信 さ れ て い な い 場 合 は き ち ん と 解 析 で き な い か も し れ な い 。

AFS 要 求 と 応 答

Transarc AFS (Andrew File System) 要 求 と 応 答 は 以 下 の よ う に 表 示 さ れ る 。

src.sport > dst.dport: rx packet-type
src.sport > dst.dport: rx packet-type service call call-name args
src.sport > dst.dport: rx packet-type service reply call-name args

elvis.7001 > pike.afsfs:
     rx data fs call rename old fid 536876964/1/1 ".newsrc.new"
     new fid 536876964/1/1 ".newsrc"
pike.afsfs > elvis.7001: rx data fs reply rename最 初 の 行 で 、 ホ ス ト

elvis は RX パ ケ ッ ト を pike に 送 信 し て い る 。 こ れ は fs (フ ァ イ ル サ ー バ ) サ ー ビ ス へ の RX デ ー タ パ ケ ッ ト で 、 RPC 呼 び 出 し の 開 始 で あ る 。 RPC 呼 び 出 し は リ ネ ー ム で 、 古 い デ ィ レ ク ト リ フ ァ イ ル ID は 536876964/1/1、 古 い フ ァ イ ル 名 は ’.newsrc.new’、 新 し い デ ィ レ ク ト リ フ ァ イ ル ID は 536876964/1/1、 新 し い フ ァ イ ル 名 は ’.newsrc’ で あ る 。 ホ ス ト pike は リ ネ ー ム 呼 び 出 し に 対 す る RPC 応 答 パ ケ ッ ト (デ ー タ パ ケ ッ ト で あ り 、 中 断 パ ケ ッ ト で は な い の で 成 功 を 意 味 す る ) を 返 信 し て い る 。 一 般 に 、 全 て の AFS RPC は 少 な く と も RPC 呼 び 出 し 名 は デ コ ー ド さ れ る 。 ほ と ん ど の AFC RPC は 少 な く と も い く つ か の 引 数 は デ コ ー ド さ れ る (一 般 に ’興 味 深 い ’ 引 数 の み が デ コ ー ド さ れ る )。 表 示 フ ォ ー マ ッ ト は 自 己 説 明 的 な も の を 目 指 し て い る が 、 AFS と RX の 動 作 に 詳 し く な い 人 々 に と っ て は お そ ら く 便 利 で は な い だ ろ う 。

-v (詳 細 ) オ プ シ ョ ン が 2 回 指 定 さ れ る と 、 追 加 情 報 が 表 示 さ れ る 。 こ れ は RX 呼 び 出 し ID、 呼 び 出 し 番 号 、 シ ー ケ ン ス 番 号 、 シ リ ア ル 番 号 、 RX パ ケ ッ ト フ ラ グ な ど で あ る 。 さ ら に -v オ プ シ ョ ン が 指 定 さ れ る と 、 セ キ ュ リ テ ィ イ ン デ ッ ク ス と サ ー ビ ス ID が 表 示 さ れ る 。 中 断 パ ケ ッ ト の エ ラ ー コ ー ド も 表 示 さ れ る 。 但 し 、 Ubik ビ ー コ ン パ ケ ッ ト は 例 外 で あ る 。 (な ぜ な ら 、 Ubik プ ロ ト コ ル に お け る 中 断 パ ケ ッ ト は 賛 成 票 を 意 味 す る か ら で あ る )。

AFS 要 求 は 非 常 に 大 き く 、 多 く の 引 数 は snaplenを 増 や さ な い と お そ ら く 表 示 さ れ な い こ と に 注 意 す る こ と 。 AFS 通 信 を 監 視 す る 場 合 は ’-s 256’ を 試 し て み る と よ い 。

AFS 応 答 パ ケ ッ ト は 明 示 的 に RPC 操 作 を 識 別 し な い 。 代 わ り に 、 tcpdumpは ’’最 近 の ’’要 求 を 覚 え て い て 、 そ れ を 呼 び 出 し 番 号 と サ ー ビ ス ID を 用 い て 応 答 と 照 合 さ せ る 。 も し 応 答 が 対 応 す る 要 求 と 結 び 付 け ら れ な か っ た 場 合 、 そ の パ ケ ッ ト は パ ー ズ で き な い 。

KIP Appletalk (UDP 内 DDP)

1.254     ether
16.1      icsd-net

net.host.port

144.1.209.2 > icsd-net.112.220
office.2 > icsd-net.112.220
jssmag.149.235 > icsd-net.2

( /etc/atalk.names が な い 場 合 ま た は そ れ に 適 切 な ア ッ プ ル ト ー ク の ネ ッ ト 番 号 、 ホ ス ト 番 号 が 含 ま れ な い 場 合 は 、 ア ド レ ス は 数 字 で 表 示 さ れ る )。 最 初 の 例 は ネ ッ ト ワ ー ク 144.1 の ノ ー ド 209 の NBP(DDP の ポ ー ト 番 号 2 )か ら ネ ッ ト ワ ー ク icsd の ノ ー ド 112 ポ ー ト 番 号 220 番 へ の 送 信 を 示 す 。 二 番 目 も 同 様 だ が 、 ノ ー ド 名 (’office’) が わ か っ て い る 場 合 の 例 。 三 行 目 は ネ ッ ト ワ ー ク jssmag の ノ ー ド 149 の 235 番 ポ ー ト か ら icsd-net の NBPポ ー ト へ の ブ ロ ー ド キ ャ ス ト を 示 す 。 ブ ロ ー ド キ ャ ス ト ア ド レ ス (255)は ホ ス ト 番 号 を 伴 わ な い ネ ッ ト ワ ー ク 名 だ け の 出 力 で 識 別 で き る こ と に 注 意 す る こ と − /etc/atalk.names に ノ ー ド 名 と ネ ッ ト ワ ー ク 名 を 記 述 し て お く の は よ い 考 え で あ る )。

NBP(名 前 解 決 プ ロ ト コ ル )と ATP(ア ッ プ ル ト ー ク ト ラ ン ザ ク シ ョ ン プ ロ ト コ ル )パ ケ ッ ト に つ い て は 、 そ の 内 容 も 解 析 さ れ る 。 そ の 他 の プ ロ ト コ ル は プ ロ ト コ ル 名 (名 前 が わ か ら な け れ ば 番 号 )と パ ケ ッ ト の サ イ ズ が 表 示 さ れ る だ け で あ る 。

NBP パ ケ ッ ト は 次 の 例 の よ う に 表 示 さ れ る :

icsd-net.112.220 > jssmag.2: nbp-lkup 190: "=:LaserWriter@*"
jssmag.209.2 > icsd-net.112.220: nbp-reply 190: "RM1140:LaserWriter@*" 250
techpit.2 > icsd-net.112.220: nbp-reply 190: "techpit:LaserWriter@*" 186一 行 目 は ネ ッ ト ワ ー ク

icsd の ホ ス ト 112 か ら ネ ッ ト ワ ー ク jssmag へ ブ ロ ー ド キ ャ ス ト さ れ る レ ー ザ ラ イ タ を 探 す 要 求 送 信 で あ る 。 nbp の id は 190 。 二 行 目 は そ の 要 求 へ の ホ ス ト jssmag.209 か ら の 応 答 (id 番 号 が 同 じ で あ る こ と に 注 意 )で 、 ’’RM1140’’と い う 名 前 の レ ー ザ ラ イ タ を 250 番 ポ ー ト に 持 っ て い る こ と を 答 え て い る 。 三 行 目 は 同 じ 要 求 に 対 す る 別 の 返 答 で ホ ス ト techpit が 186番 ポ ー ト に "tecpit" が 登 録 さ れ て い る こ と を 答 え て い る 。

ATP パ ケ ッ ト は 次 の よ う に 表 示 さ れ る :

jssmag.209.165 > helios.132: atp-req  12266<0-7> 0xae030001
helios.132 > jssmag.209.165: atp-resp 12266:0 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:1 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:2 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:3 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:4 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:5 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:6 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp*12266:7 (512) 0xae040000
jssmag.209.165 > helios.132: atp-req  12266<3,5> 0xae030001
helios.132 > jssmag.209.165: atp-resp 12266:3 (512) 0xae040000
helios.132 > jssmag.209.165: atp-resp 12266:5 (512) 0xae040000
jssmag.209.165 > helios.132: atp-rel  12266<0-7> 0xae030001
jssmag.209.133 > helios.132: atp-req* 12267<0-7> 0xae030002

jssmga.209 は ホ ス ト helios に 対 し て id 12266 で ト ラ ン ザ ク シ ョ ン を 開 始 し 最 大 8パ ケ ッ ト (’<0-7>’と 示 す )を 要 求 す る 。 行 末 の 16 進 数 字 は 要 求 に 含 ま れ る ’userdata’の フ ィ ー ル ド で あ る 。

helios は 八 個 の 512 バ イ ト の パ ケ ッ ト を 返 答 し て い る 。 ト ラ ン ザ ク シ ョ ン id に 続 く ’:数 字 ’ 表 現 は ト ラ ン ザ ク シ ョ ン に お け る パ ケ ッ ト の シ ー ケ ン ス 番 号 で 、 カ ッ コ に 囲 ま れ た 数 字 は atp ヘ ッ ダ を 除 い た パ ケ ッ ト の デ ー タ 量 で あ る 。 パ ケ ッ ト 7 番 の ’*’ は EOM ビ ッ ト が 設 定 さ れ て い る こ と を 示 す 。

jssmag.209 は パ ケ ッ ト 3 番 と パ ケ ッ ト 5 番 の 再 送 を 要 求 し て い る 。 helios は そ れ ら を 再 送 し 、 jssmag は ト ラ ン ザ ク シ ョ ン を 終 了 す る 。 そ し て 、 jssmag.209 は 次 の 要 求 を 開 始 す る 。 要 求 の ’*’ は XO (’一 回 だ け ’)は 設 定 さ れ て い な い こ と を 示 す 。

IP フ ラ グ メ ン ト 化 (fragmentation) イ ン タ ー ネ ッ ト デ ー タ グ ラ ム の フ ラ グ メ ン ト 化 さ れ た も の は 次 の よ う に 表 示 す る 。

(frag id:size@offset+)
(frag id:size@offset)

(最 初 の 形 式 は ま だ 続 く フ ラ グ メ ン ト が あ る こ と を 示 し 、 二 番 目 の 形 式 は そ れ が 最 後 の フ ラ グ メ ン ト で あ る こ と を 示 す )

id は フ ラ グ メ ン ト の id 。 size は フ ラ グ メ ン ト の IP ヘ ッ ダ を 除 く サ イ ズ (バ イ ト で )。 offset は フ ラ グ メ ン ト の も と も と の デ ー タ グ ラ ム 内 で の オ フ セ ッ ト (バ イ ト で )。 フ ラ グ メ ン ト の 情 報 は フ ラ グ メ ン ト 毎 に 表 示 さ れ る 。 最 初 の フ ラ グ メ ン ト に は 上 位 プ ロ ト コ ル の ヘ ッ ダ を 含 み 、 フ ラ グ メ ン ト 情 報 は プ ロ ト コ ル 情 報 に 続 い て 表 示 さ れ る 。 二 番 目 以 降 の フ ラ グ メ ン ト に は 上 位 プ ロ ト コ ル の 情 報 を 含 ま な い の で 、 フ ラ グ メ ン ト 情 報 は ソ ー ス お よ び デ ィ ス テ ィ ネ ー シ ョ ン ア ド レ ス に 続 い て 表 示 さ れ る 。 以 下 の 例 は CSNET で 接 続 さ れ た arizona.edu か ら lbl-rtsg.arpa へ の ftp 接 続 の 一 部 を 示 す が 、 こ れ に は 576 バ イ ト の デ ー タ グ ラ ム は あ ら わ れ て い な い :

arizona.ftp-data > rtsg.1170: . 1024:1332(308) ack 1 win 4096 (frag 595a:328@0+)
arizona > rtsg: (frag 595a:204@328)
rtsg.1170 > arizona.ftp-data: . ack 1536 win 2560二 つ の 注 意 点 が あ る : 一 つ 目 と し て 、 二 行 目 で 示 さ れ る ア ド レ ス に は ポ ー ト  番号 は 含 ま れ て い な い 点 に 注 意 す る こ と 。

TCP プ ロ ト コ ル の 情 報 は 最 初 の フ ラ グ メ ン ト に 含 ま れ る た め 、 残 り の フ ラ グ メ ン ト か ら は 表 示 す べ き ポ ー ト 番 号 や シ ー ケ ン ス 番 号 が わ か ら な い た め で あ る 。 二 つ 目 は 、 一 行 目 の TCP の シ ー ケ ン ス 情 報 に は 実 際 に は 512 バ イ ト (最 初 の フ ラ グ メ ン ト で 308 バ イ ト 、 二 番 目 の フ ラ グ メ ン ト で 204 バ イ ト の 場 合 )の ユ ー ザ デ ー タ が 308 バ イ ト で あ る か の よ う に 表 示 さ れ て い る 点 で あ る 。 シ ー ケ ン ス の 漏 れ や パ ケ ッ ト の ack の 対 応 を 調 査 す る と き 、 こ こ に 悩 ま さ れ る こ と が あ る か も し れ な い 。 フ ラ グ メ ン ト 化 禁 止 フ ラ グ の 設 定 さ れ た パ ケ ッ ト の 場 合 、 行 末 に (DF)と 表 示 す る 。 時 間 表 示 デ フ ォ ル ト で は 全 て の 出 力 行 の 先 頭 に タ イ ム ス タ ン プ が つ く 。 タ イ ム ス タ ン プ は 現 在 の 時 刻 を 次 の 形 式 で 表 示 し 、
hh:mm:ss.frac こ れ は 、 kernel の 時 間 情 報 同 様 に 正 確 で あ る 。 タ イ ム ス タ ン プ は kernel が パ ケ ッ ト を 確 認 し た 時 点 の 時 刻 を 反 映 し て い る 。 イ ー サ ネ ッ ト イ ン タ ー フ ェ イ ス が 回 線 か ら パ ケ ッ ト を 取 得 し た 時 点 か ら カ ー ネ ル が ’新 し い パ ケ ッ ト ’ に よ る 割 り 込 み を 受 け る 時 点 ま で の 時 間 差 は 反 映 さ れ て い な い 。

関 連 項 目

traffic(1C), nit(4P), bpf(4), pcap(3)

著 者

原 著 者 は :

Van Jacobson, Craig Leres and Steven McCanne, all of the Lawrence Berkeley National Laboratory, University of California, Berkeley, CA. 最 新 版 は tcpdump.org に よ っ て 管 理 さ れ て い る 。

http://www.tcpdump.org/

IPv6/IPsec の サ ポ ー ト は WIDE/KAME プ ロ ジ ェ ク ト に よ っ て 追 加 さ れ た 。 こ の プ ロ グ ラ ム は Eric Young の SSLeay ラ イ ブ ラ リ を 特 定 の 設 定 の 元 に 使 用 し て い る 。

バ グ

問 題 点 、 バ グ 、 質 問 、 拡 張 の お 願 い な ど は 、 以 下 の ア ド レ ス に 送 っ て ほ し い 。

tcpdump-workers [AT] tcpdump.org ソ ー ス コ ー ド の 寄 贈 な ど は 以 下 の ア ド レ ス へ 送 っ て ほ し い 。

patches [AT] tcpdump.org

NIT は 外 へ 出 て い く 通 信 は 見 る こ と が で き な い 。 BPF は そ れ が 可 能 で あ る 。 後 者 の 利 用 を 推 奨 す る 。 用 途 に よ っ て は 、 IPフ ラ グ メ ン ト を 再 構 築 し た り 、 上 位 プ ロ ト コ ル の 長 さ を 計 算 す る く ら い の こ と は 必 要 と な る だ ろ う 。 ネ ー ム サ ー バ の 逆 引 き 要 求 は 正 確 に 表 示 で き な い 。 (空 の )質 問 は む し ろ 回 答 の 中 に 含 ま れ る 要 求 と し て 表 示 さ れ る 。 逆 引 き 要 求 に は バ グ が ふ く ま れ て い て 、 そ れ を 修 正 す る の は tcpdump で は な く て ネ ー ム サ ー ビ ス の 方 で あ る べ き と 考 え て い る 人 も い る 。 ア ッ プ ル の EtherTalk の DDP パ ケ ッ ト は KIP DDP パ ケ ッ ト の よ う に 容 易 に dump で き る は ず だ が 、 行 な わ な い 。 た と え ethertalk を 扱 お う と い う 気 に な っ て も (な っ て な い が )、 LBLが ネ ッ ト ワ ー ク 上 の ethertalk へ の ア ク セ ス を 許 さ な い の で 、 コ ー ド の テ ス ト が で き な い の だ 。 夏 時 間 に 切 り 替 わ る と き に パ ケ ッ ト ト レ ー ス を 行 な っ て い る と 時 間 が ず れ て し ま う (時 間 の 変 更 は 無 視 さ れ る )。

FDDI ヘ ッ ダ に 対 す る フ ィ ル タ の 条 件 式 は す べ て の FDDI パ ケ ッ ト が イ ー サ ネ ッ ト の パ ケ ッ ト を カ プ セ ル 化 し て い る も の と み な し て 適 用 さ れ る 。 こ れ は 、 IP,ARP と DECNET PhaseIV に つ い て は 正 し く 動 作 す る が 、 ISO CLNS の よ う な プ ロ ト コ ル で は う ま く い か な い だ ろ う 。 そ れ ゆ え に フ ィ ル タ ー は 条 件 式 に 一 致 し な い よ う な パ ケ ッ ト を あ や ま っ て あ つ か っ て し ま う か も し れ な い 。

ip6 proto は ヘ ッ ダ チ ェ イ ン を 追 跡 す る べ き だ が 、 今 の と こ ろ そ う は な っ て い な い 。 tcp や udp も ヘ ッ ダ チ ェ イ ン を 追 跡 す る べ き で あ る 。

tcp[0]の よ う な ト ラ ン ス ポ ー ト 層 ヘ ッ ダ に 対 す る 算 術 表 現 は 、 IPv6 パ ケ ッ ト に 対 し て は う ま く 働 か な い 。 IPv4 パ ケ ッ ト に 対 し て の み 働 く 。