パケットキャプチャ：RXとTXのフィルタリング

ホストのソースMACの1つと一致するソースMACを持つフレームがホストに到達するというネットワークの問題があります-明らかな重複するMAC、ループ、またはその他のL2問題。

私のLinuxブリッジのMACテーブル（CAMテーブル）がローカルMAC（ホストされた仮想マシン用）をアップストリームポートにあるものとして登録し、カーネルログにエラーが表示されるため、これは状況であると私は信じています。

bridgename: received packet on bond0.2222 with own address as source address

これらの「不正な」パケット/フレームの詳細を入手したいのですが、それらをどのように調整するかわかりません。tcpdumpを使用すると、特定のソースMAC（「ether src MAC」）でフィルタリングできますが、これは、フレームが「送信」されたか「受信」されたかではなく、フレームのバイトに基づいています。通常、送信元MACを持つフレームは送信することを意味しますが、重複したフレームを受信した場合、コンテンツはフィルターとまったく同じに見えます。

パケットキャプチャでフレームが受信されたか送信されたかをどのように確認できますか？

— ジョシュア・ミラー
ソース

機能しないtcpdump -i <interface> inbound（または「アウトバウンド」）か？

manページは、それがSLIPに限定されていることを示しているようです。私は私のいずれかのインターフェイスに対してそれをしようとすると（ループバック、ETHは/ EMは、結合は、VLANは、タップ...）tcpdumpが言う：「tcpdumpを：インバウンド/アウトバウンドリンクタイプ1でサポートされていません」

— ジョシュア・ミラー

それはあなたの質問には答えませんが、iptablesとulogdを使用すると、興味のあるパケットのみが含まれるpcapを取得できます。

— lsmooth 2014

tcpdump -Lサポートされているインターフェースを確認するために使用

— PersianGulf '20

使用ngrep -d dev

— PersianGulf 2014

回答:

--directiontcpdumpのオプションを使用：

-Q direction
--direction=direction
       Choose send/receive direction direction for which packets should be
       captured. Possible values are `in', `out' and `inout'. Not available on
       all platforms.

— アバカバダバカバ
ソース

このオプションは、tcpdumpの最新の安定リリース-4.6.2でのみ使用できるようです。しかし、ubuntuでビルドした後、インバウンドフレームとアウトバウンドフレームをうまく区別しているように見えます。フザー！

— ジョシュアミラー

@JoshuaMiller私は確認tcpdumpのUbuntu 14.04上のmanページを、正確な同じ説明を持つオプションが存在しますが、それが呼び出される-Pのではなく-Q（と長いフォームが記載されていません）。

— kasperd 2014

@kasperdそうですね！tcpdump 4.5.1には実際には-Pがあります。おそらく、その機能は当初考えていたほど新しいものではありません。

— ジョシュアミラー

iptablesでは、着信パケットと発信パケットに異なる「チェーン」があります。iptables（8）のmanページから：

... the chains INPUT and OUTPUT are only traversed for packets coming into 
the local host and originating from the local host  respectively.   Hence 
every  packet  only  passes  through one of the three chains (except 
loopback traffic, which involves both INPUT and OUTPUT chains) ...

iptablesはいくつかのロギング（-l）を実行できます。これにより、必要なものが表示される場合があります。また、パケットのコピーを他のツールでロギングするためにインターフェースに転送することもできると思われますが、それを行う理由はありませんでした。

— mc0e
ソース