[sage] Traffic protokollieren

[Martin Schröder]

Am 2009-05-22 schrieb Johannes Hubertz <johannes at hubertz.de>:
> tcpdump ist Dein Freund:
>
>  1.)
>  nohup tcpdump -n -p -i eth0 -s 1500 -w dmp.pcap &

1500? Ist das nicht etwas viel?

>  2.) zu beliebigem spaeteren zeitpunkt:
>
>  killall -15 tcpdump
>
>  tcpdump -n -r dmp.pcap host ip1 or host ip2 and tcp port 23

Danke,
funktioniert, liefert aber nicht den Namen des Programms. :-{

Hintergrund: Rootserverbetreiber klemmt Server wegen angeblich
ausgehender DOS ab, liefert aber nur unzureichende Logfiles
(insbesondere nicht den src-port). Wir vermuten einen etwas
überschießenden ntpd als "Ursache". Beim nächsten Abklemmen des
Servers hätten wir gerne bessere Logfiles - die müssen wir aber selber
basteln.

Gruß
   Martin