Surveillance du transfert des paquets à l'aide de la commande snoop

Surveillance du transfert des paquets à l'aide de la commande `snoop`

La commande snoop permet de surveiller le statut des transferts de données. La commande snoop permet de capturer les paquets réseau et d'afficher leur contenu au format spécifié. Les paquets peuvent être affichés dès leur réception ou dès l'enregistrement dans un fichier. L'écriture des données dans un fichier intermédiaire par la commande snoop permet de réduire la probabilité de perte de paquet liée à l'activité de suivi. Le fichier est alors également interprété par la commande snoop.

Pour capturer des paquets en provenance et à destination de l'interface par défaut en mode promiscuité, vous devez vous connecter en tant qu'administrateur réseau ou superutilisateur. Dans sa forme contractée, la commande snoop affiche uniquement les données en rapport avec le protocole principal. Par exemple, un paquet NFS affiche uniquement les informations NFS. Les informations RPC, UDP, IP et Ethernet sont supprimées, mais vous pouvez y accéder en sélectionnant l'une des options détaillées de la commande.

L'exécution répétée à intervalles fréquents de la commande snoop permet d'identifier les comportements normaux du système. Pour obtenir de l'aide sur l'analyse des paquets, consultez les livres blancs et documents RFC récents et demandez conseil aux experts dans les domaines concernés (par exemple, NFS ou NIS). Pour plus d'informations sur l'utilisation de la commande snoop et des options associées, reportez-vous à la page de manuel snoop(1M)

Vérification des paquets en provenance de toutes les interfaces

Sur l'hôte local, connectez-vous en tant qu'administrateur réseau ou superutilisateur.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du manuel System Administration Guide: Security Services.
Imprimez les informations sur les interfaces connectées au système.
```
# ifconfig -a
```
La commande snoop utilise normalement le premier périphérique non-loopback (en principe, l'interface réseau principale).
Commencez la capture des paquets en exécutant la commande snoop sans argument, comme illustré dans l'Exemple 8-19.
Pour arrêter le processus, appuyez sur les touches Ctrl-C.

Exemple 8-19 Sortie de la commande snoop

La commande snoop standard renvoie une sortie comparable à l'écran suivant (pour un hôte double pile).

% snoop
Using device /dev/hme (promiscuous mode)
router5.local.com -> router5.local.com ARP R 10.0.0.13, router5.local.com is
    0:10:7b:31:37:80
router5.local.com -> BROADCAST     TFTP Read "network-confg" (octet)
farhost.remote.com -> myhost       RLOGIN C port=993      
myhost ->   nisserve2          NIS C MATCH 10.0.0.64 in ipnodes.byaddr 
nisserve2 ->    myhost             NIS R MATCH No such key     
blue-112 -> slave-253-2        NIS C MATCH 10.0.0.112 in ipnodes.byaddr
myhost -> DNSserver.local.com      DNS C 192.168.10.10.in-addr.arpa. Internet PTR ?
DNSserver.local.com  myhost        DNS R 192.168.10.10.in-addr.arpa. Internet PTR 
   niserve2.
.
.
.
fe80::a00:20ff:febb:e09 -> ff02::9 RIPng R (5 destinations)

Les paquets capturés dans cette sortie comprennent une section de connexion à distance, qui contient des demandes vers les serveurs NIS et DNS pour la résolution d'adresse. Ils comprennent également des paquets ARP périodiques en provenance du routeur local et des publications de l'adresse IPv6 lien-local sur in.ripngd.

Capture de la sortie de la commande `snoop` dans un fichier

Sur l'hôte local, connectez-vous en tant qu'administrateur réseau ou superutilisateur.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du manuel System Administration Guide: Security Services.
Capturez une session de commande snoop dans un fichier.
```
# snoop -o filename
```
Par exemple :
```
# snoop -o /tmp/cap
Using device /dev/eri (promiscuous mode)
30 snoop: 30 packets captured
```
Dans cet exemple, 30 paquets sont capturés dans le fichier /tmp/cap. Ce fichier peut se trouver dans tout répertoire contenant suffisamment d'espace disque. Le nombre de paquets capturés s'affiche sur la ligne de commande. Vous pouvez dès lors appuyez sur les touches Ctrl-C à tout moment pour arrêter le processus.
La commande snoop génère une charge réseau conséquente, ce qui risque de fausser légèrement les résultats. Pour garantir la précision des résultats, exécutez la commande snoop à partir d'un système tiers.
Consultez le fichier de capture de sortie de la commande snoop.
```
# snoop -i filename
```

Exemple 8-20 Contenu du fichier de capture de sortie de la commande snoop

La sortie suivante illustre diverses captures susceptibles d'être obtenues suite à l'exécution de la commande snoop -i.

# snoop -i /tmp/cap
1   0.00000 fe80::a00:20ff:fee9:2d27 -> fe80::a00:20ff:fecd:4375 
    ICMPv6 Neighbor advertisement
...
10  0.91493    10.0.0.40 -> (broadcast)  ARP C Who is 10.0.0.40, 10.0.0.40 ?
34  0.43690 nearserver.here.com  -> 224.0.1.1  IP  D=224.0.1.1 S=10.0.0.40 LEN=28, 
      ID=47453, TO =0x0, TTL=1
35  0.00034  10.0.0.40 -> 224.0.1.1    IP  D=224.0.1.1 S=10.0.0.40 LEN=28, ID=57376, 
     TOS=0x0, TTL=47

Vérification des paquets transmis entre un client et un serveur IPv4

Définissez un système snoop à partir d'un hub connecté soit au serveur soit au client.
Le système tiers (système snoop) vérifie tous les types de trafic entre les deux ordinateurs. Le suivi obtenu grâce à la commande snoop reflète donc le transfert réel de données.
Sur le système snoop, connectez-vous en tant qu'administrateur réseau ou superutilisateur.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du manuel System Administration Guide: Security Services.
Exécutez la commande snoop associée aux options appropriées, puis enregistrez la sortie dans un fichier.
Consultez et interprétez la sortie.
Reportez-vous au document RFC 1761, Snoop Version 2 Packet Capture File Format pour plus d'informations sur le fichier de capture snoop.

Surveillance du trafic réseau IPv6

La commande snoop permet d'afficher les paquets IPv6 uniquement.

Sur le noeud local, connectez-vous en tant qu'administrateur réseau ou superutilisateur.
Les rôles contiennent des autorisations et des commandes privilégiées. Pour plus d'informations sur les rôles, reportez-vous à la section Configuring RBAC (Task Map) du manuel System Administration Guide: Security Services.
Capturez les paquets IPv6.
```
# snoop ip6
```
Pour plus d'informations sur la commande snoop, reportez-vous à la page de manuel snoop(1M).

Exemple 8-21 Affichage du trafic réseau IPv6 uniquement

L'exemple suivant illustre la sortie standard susceptible d'être obtenue suite à l'exécution de la commande snoop ip6 sur un noeud.

# snoop ip6
fe80::a00:20ff:fecd:4374 -> ff02::1:ffe9:2d27 ICMPv6 Neighbor solicitation
fe80::a00:20ff:fee9:2d27 -> fe80::a00:20ff:fecd:4375 ICMPv6 Neighbor 
      solicitation
fe80::a00:20ff:fee9:2d27 -> fe80::a00:20ff:fecd:4375 ICMPv6 Neighbor 
      solicitation
fe80::a00:20ff:febb:e09 -> ff02::9      RIPng R (11 destinations)
fe80::a00:20ff:fee9:2d27 -> ff02::1:ffcd:4375 ICMPv6 Neighbor solicitation

Ignorer les liens de navigation
Quitter l'aperu
	Administration d'Oracle Solaris : Services IP Oracle Solaris 10 1/13 Information Library (Français)

Vérification des paquets en provenance de toutes les interfaces

Capture de la sortie de la commande snoop dans un fichier

Vérification des paquets transmis entre un client et un serveur IPv4

Surveillance du trafic réseau IPv6

Surveillance du transfert des paquets à l'aide de la commande `snoop`

Capture de la sortie de la commande `snoop` dans un fichier