在Linux中抓取SIP流量可使用
tcpdump命令，指定网卡和端口5060进行捕获： ，“bash，tcpdump -i eth0 -s0 -w sip_capture.pcap port 5060，` ，或使用专用工具sngrep实时解析SIP消息： ，`bash，sngrep -d eth0，“ ，两者均可保存为pcap文件供Wireshark分析。在Linux环境中抓取SIP（Session Initiation Protocol）数据包是网络分析、VoIP故障排查或安全审计的关键操作，以下为详细方法，结合专业工具和最佳实践,确保操作高效合规。
核心工具选择
-
tcpdump
- 轻量级命令行工具，适用于服务器或资源受限环境。
- 安装命令（Debian/Ubuntu）：
sudo apt install tcpdump
- 抓取SIP包命令：
sudo tcpdump -i eth0 -n -s0 port 5060 or port 5061 -w sip_capture.pcap
-i eth0：指定网卡（通过ip link查看实际网卡名）。-n：禁用域名解析，提升速度。-s0：捕获完整数据包（避免截断）。port 5060 or 5061：SIP默认端口（5060为明文，5061为TLS加密）。-w sip_capture.pcap：保存为Wireshark兼容文件。
-
Wireshark/tshark
- 图形化（Wireshark）或命令行（tshark）工具，支持深度分析。
- 安装命令：
sudo apt install wireshark tshark
- 实时抓包并过滤SIP：
sudo tshark -i eth0 -f "udp port 5060 or tcp port 5060 or ssl port 5061" -Y "sip"
-f：捕获时过滤（BPF语法），减少冗余数据。-Y "sip"：显示时过滤，仅展示SIP协议流量。
高级过滤技巧
针对复杂场景，使用BPF（Berkeley Packet Filter）精准定位流量：
- 按IP或域名过滤：
tcpdump -i eth0 host 192.168.1.100 and port 5060
- 抓取特定SIP方法（如INVITE）：
tcpdump -i eth0 -A 'port 5060 and tcp[20:4] = 0x494e5649' # INVITE的十六进制值
- 排除干扰流量：
tcpdump -i eth0 port 5060 and not net 192.168.2.0/24
抓包结果分析
-
使用Wireshark图形化分析
- 打开保存的
.pcap文件，在过滤栏输入：sip：显示所有SIP信令。sip.Method == "INVITE"：筛选特定请求。
- 右键数据包 → Follow → UDP/TCP Stream 查看完整会话。
- 打开保存的
-
命令行分析（tshark）
- 统计SIP请求类型：
tshark -r sip_capture.pcap -T fields -e sip.Method | sort | uniq -c
- 提取SIP头域（如Call-ID）：
tshark -r sip_capture.pcap -Y sip -T fields -e sip.Call-ID
- 统计SIP请求类型：
常见问题解决
-
权限不足
- 使用
sudo执行命令，或将用户加入wireshark组：sudo usermod -aG wireshark $USER
- 使用
-
抓不到包
- 确认网卡名称：
ip link show。 - 检查防火墙：临时关闭
sudo ufw disable。 - 若为交换机环境，启用端口镜像（SPAN）。
- 确认网卡名称：
-
加密SIP（TLS）分析
- 需RSA密钥解密：在Wireshark中配置TLS私钥（Edit → Preferences → Protocols → TLS）。
安全与合规提醒
- 法律合规：仅在自有网络或经明确授权的环境中抓包，禁止截取他人通信。
- 隐私保护：SIP包可能含敏感信息（如联系人、会话内容），存储及传输需加密。
- 最小化原则：使用过滤规则减少数据捕获量，避免存储无关流量。
抓取SIP包是诊断VoIP问题的基础技能：
- 简单场景：用
tcpdump快速捕获并保存。 - 深度分析：结合Wireshark解码SIP消息树和事务流。
- 自动化：通过
tshark脚本实现批量处理。
引用说明：
- TCPdump官方手册：https://www.tcpdump.org/manpages/tcpdump.1.html
- Wireshark SIP过滤文档：https://wiki.wireshark.org/SIP
- IETF SIP协议标准（RFC 3261）：https://tools.ietf.org/html/rfc3261
原创文章，发布者：酷盾叔，转转请注明出处：https://www.kd.cn/ask/35895.html
