linux开发之网络log的抓取

linux网络log的抓取可使用命令tcpdump来抓取，命令详细信息以下：

tcpdump

options:

-a：尝试将网络和广播地址转换成名称；

-c<数据包数目>：收到指定的数据包数目后，就中止进行倾倒操做；

-d：把编译过的数据包编码转换成可阅读的格式，并倾倒到标准输出；

-dd：把编译过的数据包编码转换成C语言的格式，并倾倒到标准输出；

-ddd：把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出；

-e：在每列倾倒资料上显示链接层级的文件头；

-f：用数字显示网际网络地址；

-F<表达文件>：指定内含表达方式的文件；

-i<网络界面>：使用指定的网络截面送出数据包；

-l：使用标准输出列的缓冲区；

-n：不把主机的网络地址转换成名字；

-N：不列出域名；

-O：不将数据包编码最佳化；

-p：不让网络界面进入混杂模式；

-q ：快速输出，仅列出少数的传输协议信息；

-r<数据包文件>：从指定的文件读取数据包数据；

-s<数据包大小>：设置每一个数据包的大小；

-S：用绝对而非相对数值列出TCP关联数；

-t：在每列倾倒资料上不显示时间戳记；

-tt： 在每列倾倒资料上显示未经格式化的时间戳记；

-T<数据包类型>：强制将表达方式所指定的数据包转译成设置的数据包类型；

-v：详细显示指令执行过程；

-vv：更详细显示指令执行过程；

-x：用十六进制字码列出数据包资料；

-w<数据包文件>：把数据包数据写入指定的文件。

 

tcpdump能够在命令中输入获取，那若是后台获取网络log并保存成文件呢，这里有两种方式。

第一种，也是利用tcpdump，将应用程序携程deamon的形式，并使用system函数执行tcpdump -i eth0 -w filename。这种方式比较简单，而且平台兼容性比较强，由于咱们只是调用的平台提供的接口而已。

第二种，直接抓取链路层的网络数据，linux提供了原始套接字RAW_SOCKET,能够获取链路层的报文。这里也有两种方式获取数据，第一种是经过socket的方式，打开指定的网卡，而后经过recv函数获取数据。另一种是使用packet_mmp共享内存的方式获取数据。读取出来的数据保存成pcap的文件格式。这种方式平台的兼容性较差。保存成pcap文件时linktype很重要，若是linktype错误，会致使报错误甚至打不开的状况。有的时候就算linktype正确也会由于平台的差别而致使读取的数据但是不符而打开失败。