wireshark抓取遠程主機流量

    WireShark即能抓本地流量包，也可以抓取遠程主機流量包[支持remote packet capture protocal(rpacapd)]

此篇講解分別在基于Linux和Windows系統的主機上安裝支持遠程抓包的rpcapd服務，然后就可在本地電腦通過WireShark捕獲遠程主機流量了

一、Windows系統上安裝并啟動rpcapd服務

    (1)軟件下載：https://www.winpcap.org/install/bin/WinPcap_4_1_3.exe，雙擊安裝即可

    (2)開啟rpcapd服務

    方式一：Windows圖形界面下

    同時按上"win+r"兩個鍵，打開運行窗口->輸入"services.msc"->在服務列表中找到” Remote Packet Capture Protocol v.0 (experimental) “ ->最后開啟服務

    方式二：命令行開啟

    cmd進入此目錄C:\Program Files (x86)\WinPcap

    rpcapd.exe -h 可以看到幫助信息描述默認端口為2002

    rpcapd.exe -lnd，然后用netstat -an|findstr /i "2002"驗證端口已開啟

    注意事項：用后及時關閉，防止他人遠程連接此主機進行流量監聽

                        如防火墻等安全軟件阻止該服務，請做相應處理

二、Linux系統上安裝并啟動rpcapd服務

    (1)編譯安裝

    yum -y install glibc-static

    wget http://www.winpcap.org/install/bin/WpcapSrc_4_1_2.zip  或  到該鏈接下尋找http://www.winpcap.org/archive/

    unzip WpcapSrc_4_1_2.zip
    cd winpcap/wpcap/libpcap
    chmod +x configure runlex.sh
    CFLAGS=-static ./configure
    make
    cd rpcapd
    make

    (2)運行服務

    ./rpcapd -n -d
    # 備注如果無法正常運行，可能要修改iptables ,具體如下：

    <1>如果SSH端口是22（這里不建議用默認端口最好改掉SSH端口）
    # iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    # iptables -A OUTPUT -p tcp --sport 22 -j ACCEPT
    # /etc/rc.d/init.d/iptables save
    iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

    <2>修改iptables開放2002端口 
    # iptables -A INPUT -p tcp --dport 2002 -j ACCEPT
    # iptables -A OUTPUT -p tcp --sport 2002 -j ACCEPT
    # /etc/init.d/iptables save
    iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]

    <3> 查看iptables的內容
    # vim iptables      #或者執行：# iptables -L
    <4> 重啟iptables

    # service iptables restart
    iptables: Setting chains to policy ACCEPT: filter          [  OK  ]
    iptables: Flushing firewall rules:                         [  OK  ]
    iptables: Unloading modules:                               [  OK  ]
    <5>運行./rpcapd -n
    # ./rpcapd -n
    Press CTRL + C to stop the server...
    socket(): Address family supported by protocol (code 98)