snoop (パケットのモニター) - サーバエンジニアの知恵袋

snoop は、インターフェースを通過するパケットをモニタリングするツールである。 snoop は root で実行する必要がある。詳しい説明は他のサイトに任せ、ここでは使用例を記載する。

ホスト "ws1" と "ws2" の IP アドレスが含まれるパケットを表示

# snoop host ws1 ws2

ws1 から ws2 へのパケットをファイル（$HOME/snoop.bin) に出力

# snoop -o $HOME/snoop.bin from ws1 to ws2

データファイル（$HOME/snoop.bin) を読み込み表示

# snoop -i $HOME/snoop.bin

hme1 インターフェース上の ARP を詳細モードで表示

# snoop -v -d hme1 arp

要約モードで全パケットを表示

# snoop -V

【オプション】 

-D : ドロップパケット (drops:) の表示 
-S : パケットサイズ (length:) の表示 
-o <ファイル名> : バイナリ形式でパケット情報をファイルに出力 
-i <ファイル名> : ファイルを読み込み標準出力する 
-v : 詳細モードで出力 
-V : 要約モードで出力 
-d <インターフェース> : インターフェースの指定

【フィルタ表現】 

from|src : 送信元がのパケットを抽出 
to|dst : 送信先がのパケットを抽出 
host : 送信元もしくは送信先がのパケットを抽出 
broadcast : ブロードキャストパケットを抽出 
port : が含まれるパケットを抽出 
gateway : を経由してくるパケットを抽出 
ip,arp,rarp,udp,tcp,icmp : 対応するプロトコルを抽出 
and : 複数の条件を and でつなげる 
or|, : 複数の条件を or でつなげる 
not|! : 複数の条件を not でつなげる