如何使用 tcpdump 监控端口 80 上的中止连接

Question

我可以使用 tcpdump 检测来自特定 IP（我的远程 IP）的端口 80（Apache）上的中止连接吗？我可以在我的 Web 浏览器中重现中止的连接，但我无法验证请求是否到达我的服务器。我试过这个，但无法真正判断连接是否已中止。

tcpdump -n -i eth0 -s 0 src or dst port 80|grep -F "XXX.XXX.XXX.XXX"

Answer 1

我认为当发送 TCP 数据包并告知连接重置时会发生“中止”连接，代表此情况的标志就是标志RST。

您可以使用 过滤 RST tcpdump -i eth1 'tcp[13] & 4 = 4'。另外，虽然有点偏离主题，但 grepping tcp dump 有点偷懒，您可以随时将其添加dst host X or src host X到过滤器中。