![tshark-根据 ssh 用户识别网络流量](https://linux22.com/image/1604852/tshark-%E6%A0%B9%E6%8D%AE%20ssh%20%E7%94%A8%E6%88%B7%E8%AF%86%E5%88%AB%E7%BD%91%E7%BB%9C%E6%B5%81%E9%87%8F.png)
我正在使用 tshark 捕获 ubuntu 系统上的网络流量。
我想知道是否有办法使用 iptables 或其他方法修改网络流量,以根据生成数据的 ssh 用户添加其他字段或元数据(例如 socks 代理)。
我稍后使用 tshark 将网络流量解析为 json,所以我想在那里看到该字段。
答案1
在 SYN 时使用 iptables 的 LOG 目标和 --uuid(您似乎在谈论 SSH)。这样,日志中就会有足够的信息来标记您捕获的其余数据包,而无需额外的信息(相同的地址和端口对)。
如果您要在其他地方进行捕获,您还可以在 iptables 中修改数据包。例如,根据“-m 所有者”稍微更改 TOS 或 TTL。它可能适用于一小部分已知用户。