tcpdump 从哪里获取 TCP 数据包的源 IP？

Question

在 Linux 系统上，有许多地方可以检查网络数据包（例如 TCP/IP 数据包）。当您提到 TRACE 时，我假设您指的是来自 iptables 的 TRACE。tcpdump 和 iptables 在数据包流经系统期间的不同时间查看数据包。因此，正如 Michael Hampton 所评论的那样，“一个是在 NAT 之前，一个是在 NAT 之后”。

有许多有用的图表描述了 Linux 系统中的数据包流（在 Google 上搜索“linux 网络数据包流”）。要更详细地了解答案，请查看以下 StackExchange Unix 和 Linux 问题中的图表：

https://unix.stackexchange.com/questions/281108/understanding-bridge-check-hop-in-packet-flow-in-linux-kernel

也可在此处获取 SVG 版本： https://en.wikipedia.org/wiki/Netfilter#/media/File:Netfilter-packet-flow.svg

在该图中，我相信 tcpdump（通过 libpcap）在标记为“taps（例如 AF_PACKET）”的步骤中检查数据包。然后，根据您插入 TRACE 的位置，您可能会看到不同的源地址。您将 TRACE 插入到哪里（例如在基础主机中还是在 docker 容器中）？我应该在评论中提出这个问题，但我仍然没有足够的声誉来为 Server Fault 中的问题添加评论。

Stack Exchange 超级用户网站也有一个类似的问题，并且给出了很好的答案： https://superuser.com/questions/925286/does-tcpdump-bypass-iptables

Answer 1

在 Linux 系统上，有许多地方可以检查网络数据包（例如 TCP/IP 数据包）。当您提到 TRACE 时，我假设您指的是来自 iptables 的 TRACE。tcpdump 和 iptables 在数据包流经系统期间的不同时间查看数据包。因此，正如 Michael Hampton 所评论的那样，“一个是在 NAT 之前，一个是在 NAT 之后”。