Как запускать хвост в файле pcap удаленно?

Question

У меня есть файл pcap, который со временем растет на сервере, в который я могу войти. То, что я хочу сделать что-то вроде этого:

ssh x@y tail -f -c +0 /path/to/pcapfile | wireshark -k -i 

Этой команда возвращает ошибку, указывающую, что PCAP файл я указал не может быть найден (он существует).

Я также попытался

wireshark -k -i - < (ssh x@y "tail -f -c +0 /path/to/pcapfile") 

Ни одна из этих работ. Я хочу использовать удаленную команду хвоста для отображения пакетов, которые транслируются в реальном времени из растущего файла pcap на сервере. Как мне это сделать? Заранее спасибо.

Answer 1

Это происходит потому, что tail не знает, где начинается пакет и где он заканчивается. Тот факт, что он работает локально, скорее всего, просто совпадение: пакеты поступают со скоростью, достаточно медленной для tail, чтобы отправить их по отдельности в wireshark через трубу.

С другой стороны, это не проблема, с которой другие люди не сталкивались раньше. Anton Berzin писал pcaptail, который является инструментом, вы, вероятно, ищете:

Он (pcaptail) будет вести себя как хвост -f, но на уровне отдельных пакетов

pcaptail это очень маленькая программа : менее 300 строк кода, и вам нужны только заголовки libpcap и libpcap, чтобы их скомпилировать.