libpcaplinux
① 如何在linux下统计高速网络中的流量
Linux下统计高速网络流量方法如下：
在Linux中有很多的流量监控工具，它们可以监控、分类网络流量，以花哨的图形用户界面提供实时流量分析报告。大多数这些工具（例如：ntopng，iftop ）都是基于libpcap 库的，这个函数库是用来截取流经网卡的数据包的，可在用户空间用来监视分析网络流量。尽管这些工具功能齐全，然而基于libpcap库的流量监控工具无法处理高速（Gb以上）的网络接口，原因是由于在用户空间做数据包截取的系统开销过高所致。
在本文中我们介绍一种简单的Shell 脚本，它可以监控网络流量而且不依赖于缓慢的libpcap库。这些脚本支持Gb以上规模的高速网络接口，如果你对“汇聚型”的网络流量感兴趣的话，它们可统计每个网络接口上的流量。
脚本主要是基于sysfs虚拟文件系统，这是由内核用来将设备或驱动相关的信息输出到用户空间的一种机制。网络接口的相关分析数据会通过“/sys/class/net/<ethX>/statistics”输出。
举个例子，eth0的网口上分析报告会输出到这些文件中：
/sys/class/net/eth0/statistics/rx_packets: 收到的数据包数据
/sys/class/net/eth0/statistics/tx_packets: 传输的数据包数量
/sys/class/net/eth0/statistics/rx_bytes: 接收的字节数
/sys/class/net/eth0/statistics/tx_bytes: 传输的字节数
/sys/class/net/eth0/statistics/rx_dropped: 收包时丢弃的数据包
/sys/class/net/eth0/statistics/tx_dropped: 发包时丢弃的数据包
这些数据会根据内核数据发生变更的时候自动刷新。因此，你可以编写一系列的脚本进行分析并计算流量统计。下面就是这样的脚本（感谢 joemiller 提供）。第一个脚本是统计每秒数据量，包含接收（RX）或发送（TX）。而后面的则是一个描述网络传输中的接收（RX）发送(TX)带宽。这些脚本中安装不需要任何的工具。
测量网口每秒数据包：
#!/bin/bash
INTERVAL="1" #update interval in seconds
if [ -z "$1" ]; then
echo
echousage: $0 [network-interface]
echo
echoe.g. $0 eth0
echo
echoshows packets-per-second
exit
fi
IF=$1
while true
do
R1=`cat/sys/class/net/$1/statistics/rx_packets`
T1=`cat/sys/class/net/$1/statistics/tx_packets`
sleep$INTERVAL
R2=`cat/sys/class/net/$1/statistics/rx_packets`
T2=`cat/sys/class/net/$1/statistics/tx_packets`
TXPPS=`expr$T2 - $T1`
RXPPS=`expr$R2 - $R1`
echo"TX $1: $TXPPS pkts/s RX $1: $RXPPS pkts/s"
done
网络带宽测量
#!/bin/bash
INTERVAL="1" #update interval in seconds
if [ -z"$1" ]; then
echo
echousage: $0 [network-interface]
echo
echoe.g. $0 eth0
echo
exit
fi
IF=$1
while true
do
R1=`cat/sys/class/net/$1/statistics/rx_bytes`
T1=`cat/sys/class/net/$1/statistics/tx_bytes`
sleep$INTERVAL
R2=`cat/sys/class/net/$1/statistics/rx_bytes`
T2=`cat/sys/class/net/$1/statistics/tx_bytes`
TBPS=`expr$T2 - $T1`
RBPS=`expr$R2 - $R1`
TKBPS=`expr$TBPS / 1024`
RKBPS=`expr$RBPS / 1024`
echo"TX $1: $TKBPS kb/s RX $1: $RKBPS kb/s"
done
下面的屏幕截图显示了上面的两个脚本的输出。
② linux系统怎么安装wireshark
首先安装tcpmp需要先安装libpcap，把我们下载到的tcpmp以及libpcap安装包放在linux一个目录下面，然后我们使用cd进入该目录后执行libpcap的解压操作。如下图2-2-1，2-2-2所示：
解压完毕后的；libpca目录如下图2-2-3所示：
我们进入到该目录，然后执行./configure然后执行make&make install就开始安装了；安装完毕后的正常状态如下图2-2-4所示：
然后我们进入到tcpmp文件的存放目录，再次执行解压操作；如下图2-2-5，2-2-6所示：
进入到tcpmp目录下后我们一样执行./configure，完毕后我们再次执行：make&make install；安装完毕后我们就可以使用该软件了；如下图2-2-7，2-2-8所示：
③ linux抓包命令
linux系统下抓包命令是tcpmp。以下是对tcpmp命令的详细介绍：
1. tcpmp命令简介 tcpmp是一个运行在命令行下的抓包工具。 它允许用户拦截和显示发送或收到过网络连接到该计算机的TCP/IP和其他数据包。 tcpmp适用于大多数的类Unix系统操作系统，需要使用libpcap这个捕捉数据的库。
2. tcpmp命令的形式 tcpmp命令的基本格式为：tcpmp [选项] [表达式]。 例如：tcpmp –i eth0 'port 1111' X c 3，其中i eth0指定网络接口，'port 1111'指定端口号，X表示以16进制和ASCII形式显示协议头和包内容，c 3表示只抓取3个数据包。
3. tcpmp命令的常用选项 a：将网络地址和广播地址转变成名字。 d：将匹配信息包的代码以汇编格式给出。 dd：将匹配信息包的代码以c语言程序段格式给出。 ddd：将匹配信息包的代码以十进制形式给出。 e：在输出行打印出数据链路层的头部信息，包括源mac和目的mac，以及网络层的协议。 f：将外部的Internet地址以数字的形式打印出来。 l：使标准输出变为缓冲行形式。 n：指定将每个监听到数据包中的域名转换成IP地址后显示。 nn：指定将每个监听到的数据包中的域名转换成IP、端口从应用名称转换成端口号后显示。 t：在输出的每一行不打印时间戳。 v：输出稍微详细的信息。 vv：输出详细的报文信息。 c：在收到指定的包的数目后，tcpmp就会停止。 F：从指定的文件中读取表达式，忽略其它的表达式。 i：指定监听的网络接口。 p：将网卡设置为非混杂模式，不能与host或broadcast一起使用。 r：从指定的文件中读取包。 w：直接将包写入文件中，并不分析和打印出来。 s snaplen：snaplen表示从一个包中截取的字节数。0表示包不截断，抓完整的数据包。默认只显示部分数据包，默认68字节。 T：将监听到的包直接解释为指定的类型的报文，常见的类型有rpc和snmp。 X：以16进制和ASCII的形式显示协议头和包内容，是协议分析的利器。