tcpdump实战-----------抓取vlan中的arp报文

最新推荐文章于 2025-05-13 11:16:33 发布
原创 最新推荐文章于 2025-05-13 11:16:33 发布 · 8k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#tcpdump #vlan #veth #bridge #tap

本文介绍了一个具体的虚拟网络配置案例，包括桥接设备和虚拟以太网设备的设置。重点展示了如何通过命令行工具操作VLAN标签，实现报文VLAN标签的去除与保留，以及这一过程中涉及的网络流量统计。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

组网图:


配置信息:

# ip --s link
12: br1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 0a:4c:c7:ba:a1:49 brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    113631     2154     0       0       0       0       
    TX: bytes  packets  errors  dropped carrier collsns
    5429       37       0       0       0       0       
13: br2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 46:62:a7:0b:e2:a8 brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    114255     2156     0       0       0       0       
    TX: bytes  packets  errors  dropped carrier collsns
    4777       35       0       0       0       0        
16: veth-2@veth-1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br2 state UP mode DEFAULT group default qlen 1000
    link/ether be:e7:f9:c6:d8:cd brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    131533     2066     0       0       0       0       
    TX: bytes  packets  errors  dropped carrier collsns
    22344      158      0       0       0       0       
17: veth-1@veth-2: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br1 state UP mode DEFAULT group default qlen 1000
    link/ether 26:c7:ce:69:a7:31 brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    22344      158      0       0       0       0       
    TX: bytes  packets  errors  dropped carrier collsns
    131533     2066     0       0       0       0       
18: veth-4@veth-3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 3e:14:01:10:e5:2d brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    19210      132      0       0       0       0       
    TX: bytes  packets  errors  dropped carrier collsns
    121443     1996     0       0       0       0       
19: veth-3@veth-4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br1 state UP mode DEFAULT group default qlen 1000
    link/ether 46:94:ba:97:f3:20 brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    121443     1996     0       0       0       0       
    TX: bytes  packets  errors  dropped carrier collsns
    19210      132      0       0       0       0       
20: veth-4.100@veth-4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 3e:14:01:10:e5:2d brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    3882       30       0       0       0       30      
    TX: bytes  packets  errors  dropped carrier collsns
    85019      1714     0       0       0       0       
21: veth-4.200@veth-4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether 3e:14:01:10:e5:2d brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    3882       30       0       0       0       30      
    TX: bytes  packets  errors  dropped carrier collsns
    16584      110      0       0       0       0       
22: veth-6@veth-5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether b6:8b:58:0a:a4:3e brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    61333      1203     0       0       0       0       
    TX: bytes  packets  errors  dropped carrier collsns
    12906      90       0       0       0       0       
23: veth-5@veth-6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master br2 state UP mode DEFAULT group default qlen 1000
    link/ether 46:fe:72:a9:e2:26 brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    12906      90       0       0       0       0       
    TX: bytes  packets  errors  dropped carrier collsns
    61333      1203     0       0       0       0       
24: veth-6.100@veth-6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether b6:8b:58:0a:a4:3e brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    32392      1111     0       0       0       4       
    TX: bytes  packets  errors  dropped carrier collsns
    4302       30       0       0       0       0       
25: veth-6.200@veth-6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default qlen 1000
    link/ether b6:8b:58:0a:a4:3e brd ff:ff:ff:ff:ff:ff
    RX: bytes  packets  errors  dropped overrun mcast   
    5196       34       0       0       0       8       
    TX: bytes  packets  errors  dropped carrier collsns
    4302       30       0       0       0       0       


  • 去掉报文中的vlan tag

# vconfig set_flag veth-6.100 1 1


# cat /proc/net/vlan/veth-6.100
veth-6.100  VID: 100     REORDER_HDR: 1  dev->priv_flags: 1
         total frames received          449
          total bytes received        13419
      Broadcast/Multicast Rcvd            4

      total frames transmitted           28
       total bytes transmitted         4088
Device: veth-6
INGRESS priority mappings: 0:0  1:0  2:0  3:0  4:0  5:0  6:0 7:0
 EGRESS priority mappings:


# tcpdump -i veth-6.100 -nn -X -e 'arp'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on veth-6.100, link-type EN10MB (Ethernet), capture size 262144 bytes
08:42:47.916941 3e:14:01:10:e5:2d > ff:ff:ff:ff:ff:ff, ethertype ARP (0x0806), length 42: Request who-has 2.2.2.4 tell 2.2.2.2, length 28
    0x0000:  0001 0800 0604 0001 3e14 0110 e52d 0202  ........>....-..
    0x0010:  0202 0000 0000 0000 0202 0204            ............
08:42:48.915682 3e:14:01:10:e5:2d > ff:ff:ff:ff:ff:ff, ethertype ARP (0x0806), length 42: Request who-has 2.2.2.4 tell 2.2.2.2, length 28
    0x0000:  0001 0800 0604 0001 3e14 0110 e52d 0202  ........>....-..
    0x0010:  0202 0000 0000 0000 0202 0204            ............


  • 保留报文的vlan tag

# vconfig set_flag veth-6.100 1 0

# vconfig set_flag veth-6.100 1 0^C
root@ubuntu:/home/zhangxa/tap_tun_study# cat /proc/net/vlan/veth-6.100
veth-6.100  VID: 100     REORDER_HDR: 0  dev->priv_flags: 1
         total frames received         1000
          total bytes received        29284
      Broadcast/Multicast Rcvd            4

      total frames transmitted           29
       total bytes transmitted         4195
Device: veth-6
INGRESS priority mappings: 0:0  1:0  2:0  3:0  4:0  5:0  6:0 7:0
 EGRESS priority mappings:


# tcpdump -i veth-6.100 -nn -X -e
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on veth-6.100, link-type EN10MB (Ethernet), capture size 262144 bytes
08:42:08.915589 3e:14:01:10:e5:2d > ff:ff:ff:ff:ff:ff, ethertype 802.1Q (0x8100), length 46: vlan 100, p 0, DEI, ethertype ARP, Request who-has 2.2.2.4 tell 2.2.2.2, length 28
    0x0000:  0001 0800 0604 0001 3e14 0110 e52d 0202  ........>....-..
    0x0010:  0202 0000 0000 0000 0202 0204            ............
08:42:09.915375 3e:14:01:10:e5:2d > ff:ff:ff:ff:ff:ff, ethertype 802.1Q (0x8100), length 46: vlan 100, p 0, DEI, ethertype ARP, Request who-has 2.2.2.4 tell 2.2.2.2, length 28
    0x0000:  0001 0800 0604 0001 3e14 0110 e52d 0202  ........>....-..
    0x0010:  0202 0000 0000 0000 0202 0204            ............
08:42:10.915494 3e:14:01:10:e5:2d > ff:ff:ff:ff:ff:ff, ethertype 802.1Q (0x8100), length 46: vlan 100, p 0, DEI, ethertype ARP, Request who-has 2.2.2.4 tell 2.2.2.2, length 28
    0x0000:  0001 0800 0604 0001 3e14 0110 e52d 0202  ........>....-..
    0x0010:  0202 0000 0000 0000 0202 0204            ............
08:42:11.915618 3e:14:01:10:e5:2d > ff:ff:ff:ff:ff:ff, ethertype 802.1Q (0x8100), length 46: vlan 100, p 0, DEI, ethertype ARP, Request who-has 2.2.2.4 tell 2.2.2.2, length 28
    0x0000:  0001 0800 0604 0001 3e14 0110 e52d 0202  ........>....-..
    0x0010:  0202 0000 0000 0000 0202 0204            ............


Linux 内核网络协议栈中的包分类与 skb-＞protocol 处理机制
数字人生
05-21 209
本文探讨了Linux网络协议栈中数据包从链路层到网络层的处理流程，重点分析了include/uapi/linux/if_packet.h中的包分类宏和sk_buff结构体的protocol字段。链路层分类宏（如PACKET_HOST、PACKET_BROADCAST）用于标识数据包的传输路径，决定是否将其传递给网络层。skb->protocol字段用于标识网络层协议类型（如IPv4、IPv6），通常在数据包从链路层传递到网络层时设置。文章还详细介绍了IPoIB（IP over InfiniBand）驱
以太网协议
a531878891的博客
08-06 3577
一、介绍 数据链路层负责的是两个相邻节点之间的通信。从整体来看数据链路层的目的有三个：（1）为I P模块发送和接收I P数据报；（2）为A R P模块发送A R P请求和接收A R P应答；（3）为R A R P发送R A R P请求和接收R A R P应答。T C P / I P支持多种不同的链路层协议，这取决于网络所使用的硬件，如以太网、令牌环网、F D D I（光纤分布式数据接口）及 R S-2 3 2串行线路等。 二、认识以太网 “以太网” 不是一种具体的网络, 而是一种技术标准; 既包含了数据链路
TCPDUMP应用：抓取ARP协议
十年运维开发经验的王义杰在此分享自己的知识和经验
09-11 1200
ARP是一个网络层到数据链路层的地址转换协议。简单来说，当一个设备知道另一个设备的IP地址，但不知道其MAC地址时，ARP用于找出该IP地址对应的MAC地址。
ARP协议详解及不同VLAN/VXLAN主机通信中的ARP示例
最新发布
小诸葛的博客
05-13 802
ARP（Address Resolution Protocol，地址解析协议）是TCP/IP协议栈中的一项关键协议，用于在局域网中将IP地址（三层地址）解析为MAC地址（二层地址）。ARP主要应用于IPv4网络（IPv6使用NDP协议），定义在RFC 826中。地址映射：将目标IP地址转换为对应的MAC地址，以便以太网帧的二层转发。动态解析：通过广播请求动态获取MAC地址，适应网络变化。缓存机制：维护ARP表，减少重复解析，提高效率。
tcpdump进行ARP抓包
bugcat的博客
08-06 6093
在学习《Linux高性能服务器编程》中，看到作者对ARP使用tcpdump进行抓包，所以本着实践出真知、多看多练的道理，也进行抓包，顺带记录一下。ARP协议的功能是实现网络层地址到任意物理地址的转换，简单理解ARP能够实现从转化为的转化。...
使用tcpdump抓取ARP广播包：实战教程
十年运维开发经验的王义杰在此分享自己的知识和经验
09-11 1289
tcpdump是一款命令行下的网络包分析器。它可以捕获经过网络接口的数据包，并提供丰富的过滤选项，让你能准确地定位到感兴趣的网络行为。tcpdump提供了一个强大而灵活的方式来分析和诊断网络问题，包括ARP协议的问题。通过合理地组合不同的参数和选项，我们可以轻松地抓取和分析ARP广播包，进而更好地理解网络行为或诊断问题。如果你觉得这篇文章有用，欢迎分享给更多的读者。这样，更多人可以了解这一主题并从中受益。
linux抓取vlan数据包,Tcpdump:抓取vlan的TAG信息
weixin_34526733的博客
05-12 4159
1、tcpdump的参数信息-n 不转换主机地址到主机名，这样用于避免DNS解析-i 指定网络接口-e增加以太网帧头部信息输出-v输出更详细的信息2、抓取vlan的信息#tcpdump-niem2-v-e|grepvlantcpdump:WARNING:em2:noIPv4addressassignedtcpdump:listeni...
tcpdump - 数据包进行截获的包分析工具
墨鱼菜鸡
07-11 1494
From：http://www.cnblogs.com/ggjucheng/archive/2012/01/14/2322659.html 30 分钟掌握 tcpdump：http://zhuanlan.51cto.com/art/201701/527498.htm Androidtcpdump下载：https://www.androidt...
使用tcpdump观察ARP通信过程和ARP报文详解
热门推荐
Be The Best！
01-14 1万+
tcpdump观察ARP通信过程
网络问题排障专题-数据分析
qq_45022073的博客
06-28 1050
了解个协议数据包如ping、DNS、TCP、HTTP&HTTPS，了解tcpdump的基本使用、了解wireshark的基础使用以及数据包分析。
怎么样做基于车载以太网的T-box的功能测试
03-13
| TCP重传率高 | tcpdump抓取序列号 | 优化Socket缓冲区大小 | | SOME/IP服务发现失败 | CANoe Service Viewer | 检查SD报文中的TTL字段 | --- 通过上述方法，可系统性地完成车载以太网T-box的功能验证。建议结合...
不同网卡抓取VLAN报文的设置方法总结
05-26
各种网卡抓取VLAN的设置方法 FAE必备
tcpdump抓镜像口流量时，根据业务情况使用vlan参数
Liv2005的专栏
10-16 2612
昨天在服务器上用tcpdump抓包学习了两个新知识。 太长不看： 1、镜像口的流量使用tcpdump抓包时，尝试使用vlan参数。 2、不指定网卡，而使用tcpdump -ni any的时候，可能会无法使用vlan参数，需要指定具体网卡。     具体的情况： 首先，我这台服务器有三个网卡，其中两个网卡接了交换机的镜像流量，一个网卡是服务器的ip用于登录。 然后，从61.xx.xx...
linux下用套接字抓arp包,TCP抓包-linux
weixin_35973657的博客
05-25 666
TCP抓包-linux(2012-01-09 16:07:45)标签：杂谈linux如何抓包====================================================================from:http://fanqiang.chinaunix.net/app/other/2006-07-14/4833.shtmllinux下抓包命令--tcpdump的...
跨vlan抓arp包？
A soul tortured by desire
04-17 1036
今天抓局域网vlan中arp报文时突然发现可以从vlan 108抓到vlan 109的包 最后经过排查才发现：是这个pc配了109网段ip，但是查在vlan 108的交换机端口上
tcpdump如何抓取vlan报文分析。
flxzlxb的专栏
02-03 5540
结论：vlan报文被tcpdump捕获时，内核已经剔除了vlan部分。所以无法通过给tcpdump抓取vlan报文。 分析：有时间给出分析。 解决方案： 1、不修改代码的情况下tcpdump+grep筛出vlan关键字。 2、修改源码的情况，修改libpcap库，pcap-linux.c->pcap_read_packet函数中：搜索vlan关键字，有对vlan报文的处理。 ...
linux brctl
weixin_33849942的博客
07-28 241
为什么80%的码农都做不了架构师？>>> ...
局域网 - tcpdump 看ip报文中vlan
迟来大师的博客
12-05 1719
tcpdump-niem2-v-e|grepvlan
Tcpdump:抓取vlan的TAG信息
weixin_34189116的博客
11-22 2313
1、tcpdump的参数信息 -n 不转换主机地址到主机名，这样用于避免DNS解析 -i 指定网络接口 -e增加以太网帧头部信息输出 -v输出更详细的信息 2、抓取vlan的信息 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

self-motivation

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值