Kontrollera trafik in/ut på portar

Little Snitch ?
Eller Wireshark.

Rubbernet ser trevligt ut.

Wireshark är krångligt och kanske lite väl hardcore.

Det funkar bra här på Lion 10.7.5.
Satte inget lösenord utan klickade bara ok.

Gjorde ingenting, installerade daemon som den bad om och sen dök allting upp.

Du kan kolla vilka nätverksförbindelser (och filer) en process har öppnat genom:

$ lsof -p pid-för-processen -n

Men här får du bara en ögonblicksbild. Vill du vara 100% säker på vad som går över nätverket är wireshark väldigt bra, även om interfacet inte är så OS X-anpassat. Nackdelen med Wireshark är att du (så vitt jag vet) inte kan koppla trafiken till en enskild process. Om man vill lära sig något om vad som flyger och far över nätverket är Wireshark ovärderligt och jag kan rekommendera att spendera några timmar med verktyget för den vetgirige.

Vill du övervaka en enskild process kan du göra mycket med dtrace via terminalen. Det finns en mängd färdiga script (man -k dtrace) men man kan också göra egna.

Jag testade också Rubbernet. Klart trevligt. Man måste installera nätverksdemonen (eller vad det kallas) genom att klicka på knappen och sedan ser man trafiken.

Rubbernet har en serverdel som kör som root samt en klient som visar data grafiskt. Klienten ser ingenting om du inte har en server (nätverksdemon). Det finns en knapp att klicka på för att installera och starta denna demon.

Kan du visa SSH-kommandot på macen?

Om en klient gör en connect till port 22 så upprättas en TCP/IP-förbindelse där port 22 används på server-sidan och (vanligast) en slumpmässig port på klientsidan. T.ex. 37tusen-nånting.

Rubbernet visar bara den ena av dessa två portar. lsof-kommandot jag gav ovan visar båda portarna.

wireshark är inte såå krångligt, installera det (du måste ha xQuartz installerat om du kör mountain lion), starta en capture och filtrera på typ "tcp.srcport == 22". Man kan alltid avsluta datainsamlingen om det är tungrott för datorn och sen göra filtrering + analys.

sen måste du gräva lite i datat på andra srcports också och se så du inte missar något data, men det filtret är en början iaf.

// DL

SSH-tunnlar kan vara lite förvirrande eftersom de involverar två ssh-processer, tre nätverksförbindelser och potentiellt sett fyra hosts.

CLIENT <-1-> "ssh -L..." <-2-> "sshd" <-3-> SERVER

Vitsen är att förbindelse 2 är krypterad ("säker"). Ofta är en eller båda av förbindelserna 1 och 3 på samma maskin (localhost).

En TCP-förbindelse består av IP-adressen för source och destination, samt en source-port och en destination-port. Fyra värden.

Det kan inte finnas två TCP-förbindelser med samma fyra värden; varje TCP-förbindelse måste vara unik (uppnås genom att man väljer olika source-portar). Om flera klienter vill koppla sig till samma server (samma portnummer) får man flera uppkopplingar med samma dst-host och dst-port; src-host och src-port måste då variera.

Då ditt kommando har gjort en tunnel har vi följande nätverkskoppel:

<-1->: clienthost:XXX <-> sshhost:2000
<-2->: sshhost:YYY <-> sshdhost:22
<-3->: sshdhost:ZZZ <-> sshdhost:4000

På sshhost ser du förbindelse <-1-> och <-2->
På sshdhost ser du <-2-> och <-3->

Portarna XXX, YYY och ZZZ slumpas av operativsystemet på klienten för att varje förbindelse skall vara unik. Rubbernet visar bara remote port för varje förbindelse så på inkommande förbindelser ser du de slumpade portnumren.

Terminalkommando för att se ssh-förbindelser (inklusive src-port och dst-port):
$ lsof -n | grep TCP | grep ssh

De portar som OSet väljer är kanske inte helt slumpvisa. Den tar en ledig port helt enkelt. Kanske 37tusen-nånting.

Nja, ditt kommando kommer att skapa tre internet-förbindelser, enligt vad jag skrev ovan.

Om klientapplikationen och "ssh -L" -kommandot går på samma maskin (och eftersom du angav localhost i ssh -L -kommandot) så kommer förbindelse <-1-> och <-3-> vara lokala, dvs inom maskinen. Dessa går då över loopbackdevicet (lo0) och inte över det riktiga nätverkskortet (t.ex. en0 eller en1).

Rubbernet visar bara nätverksförbindelser över riktiga nätverkskort. Jag vet inte hur man kan få den att inkludera trafik över lo0. Därför kommer Rubbernet endast att visa <-2->.

Dessutom visar Rubbernet endast det portnummer som den andra sidan använder i en förbindelse. Inte den lokala porten.

Så på maskinen där du gjort "ssh -L" kommer Rubbernet att visa förbindelse <-2-> med port 22 (ssh).
På maskinen där sshd kör kommer Rubbernet att visa samma förbindelse <-2-> med ett "random" portnummer som klientsidan valt.

Om du vill se de andra två förbindelserna (där <-1-> använder port 2000 och <-3-> använder port 4000) får du använda lsof-kommandot jag skrev om ovan. Rubbernet visar dem inte eftersom de går på lo0.