이 스레드가 약간 오래되었다는 것을 알고 있지만 이것이 일부 사용자에게 도움이 될 수 있다고 생각합니다.

커널이 허용하는 경우 단일 프로세스의 네트워크 트래픽 캡처는 격리 된 네트워크 네임 스페이스에서 해당 프로세스를 실행하고 해당 네임 스페이스에서 wireshark (또는 다른 표준 네트워킹 도구)를 사용하여 매우 쉽게 수행 할 수 있습니다.

설정이 약간 복잡해 보일 수 있지만 일단 이해하고 익숙해지면 작업이 훨씬 쉬워집니다.

그렇게하기 위해 :

• 테스트 네트워크 네임 스페이스를 만듭니다.

  ip netns add test
  

• 한 쌍의 가상 네트워크 인터페이스 (veth-a 및 veth-b)를 만듭니다.

  ip link add veth-a type veth peer name veth-b
  

• veth-a 인터페이스의 활성 네임 스페이스를 변경하십시오.

  ip link set veth-a netns test
  

• 가상 인터페이스의 IP 주소를 구성하십시오.

  ip netns exec test ifconfig veth-a up 192.168.163.1 netmask 255.255.255.0
  ifconfig veth-b up 192.168.163.254 netmask 255.255.255.0
  

• 테스트 네임 스페이스에서 라우팅을 구성하십시오.

  ip netns exec test route add default gw 192.168.163.254 dev veth-a
  

• ip_forward를 활성화하고 생성 한 네임 스페이스에서 들어오는 트래픽을 전달하는 NAT 규칙을 설정하십시오 (네트워크 인터페이스 및 SNAT ip 주소를 조정해야 함).

  echo 1 > /proc/sys/net/ipv4/ip_forward
  iptables -t nat -A POSTROUTING -s 192.168.163.0/24 -o <your internet interface, e.g. eth0> -j SNAT --to-source <your ip address>
  

  (원하는 경우 MASQUERADE 규칙을 사용할 수도 있습니다)

• 마지막으로, 새로운 네임 스페이스에서 분석하려는 프로세스와 wireshark도 실행할 수 있습니다.

  ip netns exec test thebinarytotest
  ip netns exec test wireshark
  

  veth-a 인터페이스를 모니터링해야합니다.

답변

netstat -taucp | grep <pid or process name>

# iptables -A OUTPUT -m owner --uid-owner 1000 -j CONNMARK --set-mark 1
# iptables -A INPUT -m connmark --mark 1 -j NFLOG --nflog-group 30
# iptables -A OUTPUT -m connmark --mark 1 -j NFLOG --nflog-group 30
# dumpcap -i nflog:30 -w uid-1000.pcap