tcpdump抓包問題

重樓君

我想用tcpdump抓取Zabbix的數(shù)據(jù)庫MySQL的數(shù)據(jù)包。
但原來的Zabbix Server里配置文件用的socket方式連接到MySQL，

1. # egrep 'DBHost=' zabbix_server.conf
   
2. DBHost=localhost

復(fù)制代碼

無論是監(jiān)聽eth0或者lo都無法抓到數(shù)據(jù)包。1.這個(gè)問題要怎么解決�。�

后面更改DBHost為本機(jī)IP后，

1. egrep 'DBHost=' zabbix_server.conf
   
2. DBHost=10.31.74.105

復(fù)制代碼

監(jiān)聽eth0無法抓到數(shù)據(jù)包，監(jiān)控lo可以抓到數(shù)據(jù)包。2.這是為什么呢?我的10.31.74.105是配置在eth0上的啊

網(wǎng)卡信息：

1. # ifconfig
   
2. eth0      Link encap:Ethernet  HWaddr 00:0C:29:06:B3:E5  
   
3.           inet addr:10.31.74.105  Bcast:10.31.74.255  Mask:255.255.255.0
   
4.           inet6 addr: fe80::20c:29ff:fe06:b3e5/64 Scope:Link
   
5.           UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
   
6.           RX packets:316066 errors:0 dropped:0 overruns:0 frame:0
   
7.           TX packets:308105 errors:0 dropped:0 overruns:0 carrier:0
   
8.           collisions:0 txqueuelen:1000
   
9.           RX bytes:66589493 (63.5 MiB)  TX bytes:42328318 (40.3 MiB)
   
10. 
    
11. lo        Link encap:Local Loopback  
    
12.           inet addr:127.0.0.1  Mask:255.0.0.0
    
13.           inet6 addr: ::1/128 Scope:Host
    
14.           UP LOOPBACK RUNNING  MTU:65536  Metric:1
    
15.           RX packets:4194045 errors:0 dropped:0 overruns:0 frame:0
    
16.           TX packets:4194045 errors:0 dropped:0 overruns:0 carrier:0
    
17.           collisions:0 txqueuelen:0
    
18.           RX bytes:215066750 (205.1 MiB)  TX bytes:215066750 (205.1 MiB)
    

復(fù)制代碼

監(jiān)聽lo的抓包信息

1. # tcpdump -i lo -s 0 -l -w - dst port 3306 | strings
   
2. tcpdump: listening on lo, link-type EN10MB (Ethernet), capture size 65535 bytes
   
3. 2WLX
   
4. O{AK
   
5. select escalationid,actionid,triggerid,eventid,r_eventid,nextcheck,esc_step,status,itemid from escalations order by actionid,triggerid,itemid,escalationidr
   
6. 2WYZ
   
7. 2W?^
   

復(fù)制代碼

監(jiān)聽eth0無法抓到數(shù)據(jù)包

1. #  tcpdump -i eth0 -s 0 -l -w - dst port 3306 | strings
   
2. tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes

復(fù)制代碼

jixuuse

這種本來就是在本機(jī)交互的，直接抓lo就可以了

重樓君

但I(xiàn)P是配置在eth0口上的，為什么抓eth0口沒有數(shù)據(jù)包呢？回復(fù) 2# jixuuse


   

lolizeppelin

估計(jì)系統(tǒng)自動(dòng)優(yōu)化

內(nèi)核里判斷是本機(jī)到本機(jī)就直接走lo了
否則從網(wǎng)卡出網(wǎng)卡回浪費(fèi)資源

當(dāng)然只是猜測  深究的話要看內(nèi)核網(wǎng)絡(luò)部分代碼

jixuuse

走哪里是看路由的

到本機(jī)當(dāng)然是環(huán)回口了

cjfeii

jixuuse 發(fā)表于 2016-05-13 18:40
走哪里是看路由的

到本機(jī)當(dāng)然是環(huán)回口了