AIX - 使用进程 ID-s 收集网络流量

Question

我正在分析应用程序服务器机器的网络通信方向。我收集了很多 TCP SYN 包，所以我可以列出网络通信方向向内和向外。

内部通信是干净的，因为我可以知道哪些应用程序服务器进程与某个侦听端口相关。

我的问题是判断哪个进程正在向特定方向发起通信。

例如，在我的 tcpdump 输出中，我看到出站包发送至 123.123.110.120:10122。

07:52:47.308694 IP 10.128.46.13.49743 > 123.123.110.120.10122: S 246322753:246322753(0) win 14600 <mss 1460,sackOK,timestamp 3109396548 0,nop,wscale 7>

有没有办法收集进程 ID 以及 tcpdump 输出？

Answer 1

ptcpdump 可以做到这一点：

$ sudo ptcpdump -i any -c 2 port 80
2024/05/18 15:07:26 capturing...
15:07:32.109948 wlp4s0 Out IP (tos 0x0, ttl 64, id 19758, offset 0, flags [DF], ip_proto TCP (6), length 60)
    192.168.1.50.48282 > 104.18.32.7.80: Flags [S], cksum 0x4a22, seq 638565084, win 64240, options [mss 1460,sackOK,TS val 3459351264 ecr 0,nop,wscale 7], length 0
    Process (pid 1674620, cmd /usr/bin/curl, args curl stackoverflow.com)
15:07:32.520880 wlp4s0 In IP (tos 0x4, ttl 53, id 0, offset 0, flags [DF], ip_proto TCP (6), length 60)
    104.18.32.7.80 > 192.168.1.50.48282: Flags [S.], cksum 0x56a1, seq 3079891173, ack 638565085, win 65160, options [mss 1400,sackOK,TS val 3122651013 ecr 3459351264,nop,wscale 13], length 0
    Process (pid 1674620, cmd /usr/bin/curl, args curl stackoverflow.com)
2 packets captured
3 packets received by filter
0 packets dropped by kernel