Tshark, как настроить запись в лог только http протокола?

Question

[r85qPZ1d3y]

Столкнулся с проблемой, не могу записать через tshark в файл дампа траффик содержащий только http протокол, а всё остальное чтобы не записывалось в файл.
В мануалах, к сожалению описано лишь как прочесть из уже имеющегося дампа, убрав ненужное.

Пробовал запускать так:
sudo tshark -i eth0 -w test.pcap -d tcp.port==80,http
так:
sudo tshark -i eth0 "http" -w test.pcap
так:
sudo tshark -i eth0 "http" -w test.pcap -f "protocol:http"
К сожалению, или вылетает с ошибкой, или опять же пишет в test.pcap всё подряд.

Кто знает, подскажите команду, какой параметр надо дописать. Буду очень признателен за помощь.

Answer 1

[Rsa97]

sudo tshark -i eth0 -w test.pcap port 80
https://wiki.wireshark.org/CaptureFilters

Comments

[r85qPZ1d3y]

Не вариант, к сожалению. Помимо http запросов там тысячи TCP запросов, на один http запрос идут сотнями мусорных TCP пакетов. Очень желательно, чтобы в лог писались только http запросы, без мусора, и не желательно ограничивать номером порта, так как многие сайты висят на альтернативных портах, типа 8080 и так далее.

Answer 2

[Дмитрий Шицков]

Полагаю, силами tshark вам не отфильтровать протокол L7. Возможно, подходящим вариантом будет отфильтровывать этот трафик в iptables с использованием l7 filter для вычленения только HTTP, а после уже дампить через tshark/tcpdump.