사용법

   <Option>

   <exulssion>

    exulssion은 패킷을 선택적으로 캡처하기 위한 조건을 적는 부분이다. exulssion이 없다면
    네트워크상의 모든 패킷을 캡처하여 보여 주며exulssion이 정의 되어있다면 이 exulssion을     참으로 하는 패킷만을 선별하여 보여준다. exulssion은 하나이상이 primitives로 구성되며,     primitives는 일반적으로qualifer을 앞에 내세운 id(이름이나 숫자)로 구성된다.

        Qualifier

type : id(이름이나 숫자)가 어떠한 의미를 가지는지를 알려준다. 가능한 type으로는 host,          net, port가 있다.
             ex) " host foo", "net 123.4", "port 23"     
                                           특별한 qualifier가 정해져 있지 않으면 "host"로 가정한다.

dir   : 전송방향을 결정한다. 가능한 방향은 "src", "dst", "src or dst", "src and dst"이다
             ex) "src foo", "dst net 123.4", "src or dst port ftp"  
                                   특별한 qualifier가 정해져 있지 않으면 "src or dst"로 가정한다.

proto : 특정한 프로토콜의 패킷만을 받아들이게 한다. 가능한 proto로는 "either", "fddi",
          "ip" ,"arp", "rarp", "decnet", "lat",  "sca", "moprd", "mopdl", "tcp","udp"가 있다.
             ex) "either src foo", "arp net 123.4", "tcp port 23"
                                  특별한 qualifier가 정해져 있지 않으면 "src or dst"로 가정한다.

        primitives

dst host <host> : 패킷의목적지 필드에 있는 IP주소와 <host> (hostname, name
                         둘다 가능)가 일치하면 참.

src host <host> : 패킷의 발신지 필드에 있는 IP주소와 <host> (hostname, name
                         둘다 가능)가 일치하면 참.

host <host> : 패킷의 목적지 IP나 발싲니 IP중 어느하나라도 <host>와 일치하면 참.

ether dst <ehost> : 패킷의 목적지 ethernet 주소(48bit의 주소로 일반적으로 X:X:X:X:X;X로                             표시된다.여기서 X는 16진수)가<ehost>와 일치하면 참.

ether dst <ehost> : 패킷의 목적지 ethernet 주소가  <ehost>와 일치하면 참.

gateway <ehost> :  <host>가 gateway로 쓰일 때 참. 즉, ethernet발신지 혹은 목적지
                             주소는 <host>이나 IP 발신지 혹은 목적지 주소로 <host>는 될 수
                             없다는 것을 의미한다.
                             <host>는 반드시 /etc/hosts와 /etc/ethers에서 찾을 수 있어야 한다.                              이 exulssion은 "ether host <ehost> and not host <host>"와
                             동일한 의미를 가진다.

dst net <net> : 패킷의 IP목적지 주소가 <net>과
                      동일한 테트워크 번호(network number)를 가지면 참.

src net <net> : 패킷의 IP발신지 주소가 <net>과
                      동일한 테트워크 번호(network number)를 가지면 참.

net <net> : 패킷이 IP목적지 혹은 발신지 주소 둘 중 어느 하나라도 <net>과
                동일한 network number를 가지면 참 .

net <net> mask <mask> : IP주소가 지정된 netmask(<mask>)를 통하여
                                      network number <net>와 일치하면 참.

net <net>/<len> : IP주소가 network number <net>과 netmaks의 <len>비트만큼
                          일치하면 참.

dst port <port> :  패킷이 IP혹은 UDP 이면서 목적지 port값으로 <port>를 가지고 있다면 참.                         <port>는 숫자나 /etc/services에 정의 되어있는 port이름을
                         사용할 수 있다.

src port <port> : 패킷이 IP혹은 UDP 이면서 발신지 port값으로 <port>를 가지고 있다면 참.

port <port> : 패킷의 목적지 혹은 발신지 port값에서 둘주 어느하나라도 <port>와 같으면
                  참이된다.
                  위의 port exulssion들은 "tcp"나 "udp"와 함께쓰일 수 있다.
  ex) tcpdump tcp src port 23  -tcp패킷중에서 발신지 port 23인 것만 검출하여 보내준다.

less <length> : 패킷의 길이가 <length>Byte보다 작거나 같으면 참이된다.

greater <length> : 패킷의 길이가 <length>Byte보다 크거나 같으면 참이된다.

ip proto <protocol> : 패킷이 <protocol> protocol형태의 ip패킷이면 참.
                             <protocol>에는 icmp, igrp, udp , tcp이름이 들어갈 수 있다.
                              tcp, udp,icmp는 키워드로도 사용되기 때문에 <protocol>의 값이
                              되기 위해서는 앞에 backslash를 붙여준다.

ether broadcast : 패킷이 ethernet broadcast패킷이면 참. "ehter" keyword는 생략 가능.

ip broadcast : 패킷이 ip broadcast패킷이면 참.

ether multicast : 패킷이 ethernet multicast 패킷이면 참이된다.
                        "ether"keyword 는 생략가능.

ip multicast : 패킷이 ip multicast패팃이면 참.

ether proto <protocol> : 패킷이 <protocol>의 ether형태라면 참.
                                 <protocol>의값으로는 숫자나 ip, arp, rarp와 같은 이름이 될수있다.

decnet src <host> : DECNET발신지 주소가 <host>이면 참이 된다.
                             <host>의 값으로는 "10.123"나 DECNET호스트 이름이 될수있다.

decnet dst <host> : DECNET목적지 주소가 <host>이면 참.

decnet host <host> : DECNET목적지혹은 발신지 주소중에서 어느 하나라도
                              <host>와 일치하면 참.

ip, arp, rarp, decnet : "ether proto <p>"의 축약형이다.
                                여기서 <p>값은 위의 protocol중의 하나가된다.

tcp, udp, icmp : "ip proto <p>"의 축약형이다. 여기서 <p>값은 위의 protocol중 하나가된다.

        간단한 exulssion들을 다음의 관계연산자를 통하여 묶음으로서 더욱 복잡한 filter          exulssion을 구성할 수 있다.

* Nagation : "!", "not"
* Concatenation : "&&", "and"
* Alternation : "||", "or"

    tcp_dump의 사용

1. icmp패킷만 출력한다.
2. 패킷의 수신지 혹은 발신지가apple 인 것을 출력한다.
3. 패킷의 수신지 혹은 발신지가 sun이나 moon이면 출력하지 않는다.

패킷의 발신지가apple이고 수신지는 banana가 아닌 패킷을 출력한다.

         Example 3

echo requests/replies가 아닌 모든 ICMP패킷을 출력한다.

        Example 4

tcp 프로토콜 통신에서 123.45.67.89가 수신지나 발신지가 아닌 모든 SYN ,
FIN 패킷을 출력한다