[EC2]５分でできる！？ WireSharkのリモートキャプチャー

###############################################################################
# Target Host Setting
#

# EC2のキーペア
# EC2にSSHでログインするときに使用するキーペアのファイルパスを指定してください。
KEY_PAIR=/Users/foo/key-pair.pem

# EC2の接続ユーザ
# EC2にログインする場合のユーザ名です。Amazon Linux の場合はec2-userを指定してください。
USER=ec2-user

# 接続ホスト名
# PublicのIPアドレスでアクセスできる場合は、EC2のPublic DNSを指定する。
# 踏み台サーバを経由する場合はlocalhostを指定する。
#CONNECT_HOSTNAME=ec2-xx-xx-xx-xx.ap-northeast-1.compute.amazonaws.com
CONNECT_HOSTNAME=localhost

###############################################################################
# Capture Setting
#

# チャプチャーインタフェース
# キャプチャー対象のネットワークインタフェース名を指定してください。
# Amazon Linux はeth0を指定してください。
INTERFACE=eth0

# キャプチャーIPアドレス(EC2のPrivate DNSのIPアドレス)
TARGET_PRIVATE_IPADDR=yy.yy.yy.yy

# キャプチャーフィルタ
# (通信が大量にある場合は設定することが必須)
# 例.FILTER="tcp port 80"
FILTER=

###############################################################################
# Portforward Setting (Optional)
#

# ポートフォワードする場合はローカルの空きポート番号を指定する(1024番以上)
# ポートフォワードを利用指定しない場合はコメントに設定してください。
PORTFORWARD_PORT=8022

# 踏み台サーバ(ポートフォワードサーバ)を指定する
# EC2のPublic DNSを指定する。
PORTFORWARD_HOSTNAME=ec2-zz-zz-zz-zz.ap-northeast-1.compute.amazonaws.com

#!/bin/sh
#
# Name
#   wireshark-remote
#
# format
#   wireshark-remote.sh [-c config_path]
#
# description
#   ssh経由でtcpdumpを実行した結果をwiresharkに転送することによって
#   間接的にwiresharkによるリモートキャプチャーする
#
# requirements
#   1. !requiretty設定
#     リモートホスト(EC2)でtcpdumpを実行するユーザ(ec2-user)に
#     コマンド(tcpdump)を実行するときにTTYを要求しない設定を追加する
#     例.ec2-userの場合、visudoにて以下の行を追加
#       Defaults:ec2-user !requiretty
#
#   2. Wiresharのキャプチャー開始
#     このシェルを実行してWireshark起動すると直ちにスタートボタンを
#     押してください。
#
# return
#      0 =  SUCCESS
#      0 != FAILED
#

##############################################################################
# Function
#

trap 'terminate' HUP
trap 'terminate' INT
trap 'terminate' TERM

terminate()
{
killchild $$
}

killchild()
{
local ppid=$1
local is_target=0
local is_pid pid
local pslist=`ps -o ppid,pid`
local i=0
for pid in $pslist; do
  is_pid=`expr $i % 2`
  if [ $is_pid -eq 1 ]; then
    if [ $is_target -eq 1 ]; then
      kill $pid >/dev/null 2>&1
    fi
    is_target=0
  else
    if [ "x$pid" == "x$$" ]; then
      is_target=1
    fi
  fi
  i=`expr $i + 1`
done
}

##############################################################################
# Main
#

SSH=ssh
SUDO=sudo
WIRESHARK=wireshark
TCPDUMP=tcpdump

SNAPLEN=1600
KEEP_ALIVE=60

# include config. (default: wireshark-remote.conf)
if [ "x$1" == "x-c" ]
then
  config=$2
else
  config=`pwd`/wireshark-remote.conf
fi
if [ -f $config ]
then
  source $config
else
  echo "Invalid config file : "$config
fi

# Portforwarding as child process.
if [ "x$PORTFORWARD_PORT" != "x" ]
then
  sleep 1
  ${SSH} -i ${KEY_PAIR} -o ServerAliveInterval=${KEEP_ALIVE} -N -L ${PORTFORWARD_PORT}:${TARGET_PRIVATE_IPADDR}:22 ${USER}@${PORTFORWARD_HOSTNAME} &
  portforward_option=" -p ${PORTFORWARD_PORT} "
fi
sleep 2

# Set Filter
if [ "x$FILTER" != "x" ]
then
#  filter=" or \(${FILTER}\)"
  filter=" or ${FILTER}"
fi

# Capture With tcpdump.
exclude_ipaddr=${TARGET_PRIVATE_IPADDR}
${SSH} -i ${KEY_PAIR} ${portforward_option} -C -o ServerAliveInterval=${KEEP_ALIVE} ${USER}@${CONNECT_HOSTNAME} ${SUDO} ${TCPDUMP} -U -i ${INTERFACE} -s ${SNAPLEN} -w - "not \(host ${exclude_ipaddr} and tcp port 22\) ${filter}"  | ${WIRESHARK} -i -

result=$?
if [ $result -ne 0 ]; then
  terminate
fi

exit $result

wireshark-remote.shの実行

デフォルトでは実行ディレクトリの設定ファイル(wireshark.conf)を読み込みます。個別の設定ファイルを読み込ませて

例．デフォルトの設定ファイル（wireshark-remote.conf）で起動する ./wireshark-remote.sh

例．設定ファイル（another-setting.conf）を指定して起動する ./wireshark-remote.sh -c another-setting.conf

WireSharkのキャプチャーを開始

WireSharkが起動するとキャプチャインタフェースに「-:(NULL)」が指定されています。この状態で、「スタート」(赤く囲ったボタン)を押して実行してください。

Macの場合

RHEL6/CentOS6の場合

WireSharkのキャプチャーを停止

キャプチャー結果の保存はこれまで通りです。データの保存が済みましたらCtrl+Cを押しランチャーを停止してください。

Ctrl+Cで停止させる方法は、荒っぽい印象を受けるかもしれませんが、ランチャーのシェルが停止することによって、子プロセスであるリモートのtcpdumpプロセスや、ポートフォワーディングなどの関連プロセスがクリーンナップされるように実装しています。