远程抓包
远程抓包
# 远端抓、本地存：
ssh user@10.0.0.5 'sudo tcpdump -i eth0 -nn -s 0 -w - port 443' > /tmp/remote.pcap
# 本地断网/带宽受限时先压缩传输：
ssh user@10.0.0.5 'sudo tcpdump -i eth0 -nn -s 0 -w - port 443' | gzip > /tmp/remote.pcap.gz
# 抓完立即核对完整性：
tcpdump -nn -r /tmp/remote.pcap 2>&1 | head -3
tcpdump -nn -r /tmp/remote.pcap 2>/dev/null | wc -l| 场景 | 生产机无法装分析工具 |
|---|---|
| 要点 | -w - 输出到 stdout；-U 及时刷出 |
| 传输 | 避免明文经过不可信网络；大量数据先压缩或只抓头部 |
| 完整 | 中断的 ssh 会产生截断 pcap，读取时可能报错 |
远程抓包会占用生产机 CPU 与带宽，规定明确的抓取时长与过滤条件，抓完立即停止。