Como processar / canalizar a saída TCPDUMPs em tempo real

27

Se eu quiser tcpdump solicitações de DNS por clientes (em um roteador OpenWrt 10.04), então eu

root@ROUTER:/etc# tcpdump -n -i br-lan dst port 53 2>&1       
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on br-lan, link-type EN10MB (Ethernet), capture size 96 bytes
22:29:38.989412 IP 192.168.1.200.55919 > 192.168.1.1.53: 5697+ A? foo.org. (25)
22:29:39.538981 IP 192.168.1.200.60071 > 192.168.1.1.53: 17481+ PTR? 150.33.87.208.in-addr.arpa. (44)
^C
2 packets captured
3 packets received by filter
0 packets dropped by kernel

Tudo bem. Mas. Por que não posso canalizar a saída do tcpdumps em tempo real?

root@ROUTER:/etc# tcpdump -n -i br-lan dst port 53 2>&1 | awk '/\?/ {print $3}'
^C
root@ROUTER:/etc# 

Se eu despertar, etc. alguma coisa após o tcpdump, não recebo QUALQUER saída. Por que é que? Por que não consigo processar a saída do tcpdump com pipelining em tempo real? (de modo que, por exemplo: no exemplo, apenas produz a terceira coluna)

Existem soluções para isso?

LanceBaynes
fonte

Respostas:

35

Diretamente de man tcpdump

-l     Make stdout line buffered.  Useful if you want to see the data while 
       capturing it.  E.g.,

              tcpdump -l | tee dat

       or

              tcpdump -l > dat & tail -f dat

       Note that on Windows,``line buffered'' means ``unbuffered'', so that 
       WinDump will write each character individually if -l is specified.

       -U is similar to -l in its behavior, but it will cause output to be 
       ``packet-buffered'', so that the output is written to stdout at the 
       end of each packet rather than at the end of each line; this is 
       buffered on all platforms, including Windows.
Marcin
fonte
7

Use a opção -Uem combinação com -wpara que o tcpdump grave pacotes imediatamente.

Julius Junghans
fonte
3

O tcpdump aparentemente está protegendo a saída quando grava em um pipe. Como não está liberando a saída para cada gravação, o sistema gravará a saída em pedaços de aproximadamente 4k bytes. Seu filtro está limitando a quantidade de itens, para que você não veja nada até que o filtro tenha gravado uma saída suficiente. Uma vez coletado o suficiente, ele será gravado em um pedaço e você deverá ver várias linhas emitidas.

Tente acionar pesquisas de DNS várias vezes e veja o que acontece então.

Keith
fonte
1

expecttem um unbuffercomando para enganar os comandos e assumir que eles estão gravando em um tty, para que eles não sejam armazenados em buffer.

ninjalj
fonte
1

Estou criando um wrapper de monitoramento em tempo real em torno do tcpdump que precisa ver os pacotes assim que estiverem disponíveis. Mesmo com -lalgum atraso.

O tcpdump agora possui --immediate-mode, o que resolveu esse problema para mim. Para fazê-lo funcionar, usei-o em conjunto com -l.

Veja esta resposta .

anderspitman
fonte