使用 tcpdump 捕获 LDAPS 流量

Question

我有一个使用 LDAPS 针对 Active Directory 进行身份验证的应用服务器。我通过端口 636 连接到 AD 服务器。

我正在尝试排除/调试一些性能问题，并开始怀疑延迟要么来自 AD 本身，要么来自应用服务器和 AD 之间的连接。我想运行一个tcpdump（我的第一个！）来捕获身份验证性能不佳期间的流量（用户正在登录并在浏览器前等待）。到目前为止，从本教程我的命令如下：

tcpdump port <???> -v -i eth0 -w ~/capture.log

但是，由于这是我第一次使用tcpdump，所以我对一些与端口有关的事情很感兴趣。我知道我的应用服务器通过 AD 的端口 #636 连接到 AD，但我不知道我们在哪个端口（在应用服务器 VM 上）启动该连接。我也不知道 LDAPS 在其协议中使用哪种出站/入站端口，而 Google 在这方面没有提供太多帮助。例如，我知道 FTP 始终使用 2 个 TCP 连接（命令 + 数据）；我想知道 LDAPS 是否做了类似的事情？

我想问的是：如果我在应用服务器虚拟机上执行此操作tcpdump，我应该在哪个端口号上捕获流量？并且，如果 LDAPS 使用多个端口作为其协议，我是否可以tcpdump同时在多个端口上运行（如果是，如何)？

如果有帮助的话，应用服务器使用 Javaldaptive库来启动基于 LDAPS 的 AD 身份验证。

Answer 1

源端口（启动端口）是可变的（每次都会变化），但在这种情况下也是无关紧要的；当您使用“端口 636”作为过滤器时，它将匹配源端口或目标端口，并且我们知道在这种情况下目标端口始终是 636。

因此：在端口 636 上捕获。如果您还需要在另一个端口上捕获，比如说 389：

tcpdump 端口 636 或 389 {其余选项}

会工作。