如何从 Linux 网关监控和记录本地计算机的端口使用情况和目标尝试？

Question

我可以访问充当内部网络网关的 Linux 服务器。

有一个 MagicJack Plus 设备通过 CAT5 插入到该网络。

MagicJack 通过 DHCP 从 Linux 服务器获取其 IP，我已经确定了它所发布的 IP 地址。

我已经对该 IP 进行了 nmap，但在 MagicJack Plus 设备上未发现任何开放的端口。

我很好奇它是如何通信的，尤其是它实际使用了哪些端口。我想监控它在 24 小时内使用了哪些端口。我很想知道它是否会尝试与它不需要的任何其他计算机（在本地网络上）进行通信。

最终，我想锁定该设备，以便它只能访问其所需的内容，而不能访问其他内容。

Linux 服务器只有一个 Web 应用程序 GUI 和命令行，我如何监控和记录“此设备的 IP”的网络活动以发现它实际使用的端口、它尝试访问的内容以及它使用了多少带宽？

Answer 1

要获取设备产生的所有流量，请执行以下操作：

1. 将设备直接插入主机的端口（即专用的以太网适配器）

2. 给出eth1您用于测试的主机网络适配器的名称（参见上文）使用此命令将数据包日志写入文件：

   $ sudo tcpdump -s 65535 -i eth1 -w ~/device.pcap
   

3. 让该命令运行一段时间（例如 24 小时）。
4. 像平常一样使用该设备，使其（可能）产生一些流量。
5. 中断tcpdump​Ctrl-C
6. 使用你喜欢的任何工具检查流量转储文件~/device.pcap，例如wireshark

编辑：

如果您的设备在没有 IP 地址的情况下无法工作，您可能需要为其设置 dhcp 服务器。我建议使用 dnsmasq 来实现这些目的，如下所示（在您的测试主机上运行）：

# ifconfig eth1 192.168.100.1/24 up
# dnsmasq --bind-interfaces --conf-file= --interface eth1 --listen-address 192.168.122.1 --dhcp-range 192.168.100.2,192.168.100.254