是否有可能在wireshark中看到两个远程主机之间的TCP流量？

Question

我正在尝试调试两个嵌入式设备之间的TCP通信，其中只有一个在我的控制之下。我想看看Wireshark发生了什么，但我什么也没看到。甚至可以在Wireshark中查看远程主机（但在同一台交换机上）之间的流量吗？

Answer 1

这取决于您的开关。某些交换机具有名为“port mirroring”的功能，允许您将特定物理端口上的所有流量镜像到另一个端口。

最便宜的方法是选择基本网络hub。默认情况下，这将复制所有其他端口上单个端口上的所有传入和传出流量。

Answer 2

如果您使用名为ARP spoofing的技术，即使没有端口镜像，您也可以看到交换机上的任何IP流量。您可以使用ettercap之类的工具完成此操作。我使用这种技术来解决PBX和IP电话之间的VOIP流量问题。启动ARP欺骗后，您将在wireshark上看到任何或所有IP流量。如果您怀疑此解决方案的合法性，请参阅this维基百科页面上的Legitimate usage。

Answer 3

当你和这些主机之间有一个SWITCH（而不是HUB）时。交换机只会将数据包转发到连接目标主机的端口，而集线器会将其看到的所有数据包传播到所有端口。

您可以通过（暂时）安装集线器来实现您的目标，在该集线器上连接您的计算机和需要嗅探的两个系统。

编辑：正如MattH在评论中所说，在许多高端交换机上有一个镜像功能，允许你使用交换机的1个端口嗅探另一个端口。您可以询问您的网络人员您的交换机是否具有此功能，并且可以访问该功能以进行调试。