![查看流经 NAT 机器的流量](https://linux22.com/image/729131/%E6%9F%A5%E7%9C%8B%E6%B5%81%E7%BB%8F%20NAT%20%E6%9C%BA%E5%99%A8%E7%9A%84%E6%B5%81%E9%87%8F.png)
我最近被任命负责一个 HPC 集群,而上任管理员在记录所有事情方面做得并不好。我们的 IT 安全团队通知我们,我们的头节点经常访问一个可疑的免费软件网站,我们应该检查一下。我们的头节点是集群其余部分的 NAT,因此我假设流量实际上不是来自头节点,而是来自通过我们的头节点进行通信的其他计算机。一段时间以来,我一直在头节点上运行 tcpdump -vvvv -A 'host [headnode ext IP]' 来捕获往返于免费软件网站的数据包,但这并不能告诉我哪台机器实际上在发出这些请求。有人能给我一个命令来运行(或者可能是我遗漏的 tcpdump 标志)来告诉我向这个网站发出请求的实际主机吗?
答案1
我假设您有一个外部接口(可能eth0
),它正在为内部接口(可能eth1
带有 RFC1918 子网)上的机器执行 NAT。我会尝试运行 cap 来eth1
查看哪个后端 IP 正在访问 104.25.236.8。例如:tcpdump -i eth1 -vvvv -A src 104.25.236.8 or dst 104.25.236.8