네트워크 패킷 분석

https 필터링

tcp.port == 443

ip 필터링

ifconfig

ipconfig가 아니라 ifconfig인 이유
windows는 Internet Protocol configuration이고
linux는 interface configuration
즉, linux에서는 단순 인터넷 프로토콜이 아닌 네트워크 인터페이스 전반을 제공함

근데 리눅스 ifconfig는 오래 동안 방치 되어 있다고 함.(거의 20년동안 지원 끊김)
그래서 iproute2 패키지 쓰는 걸 권장함.
mac에서는 iproute2 호환성 없음.
그래서 netstat 등 다른 도구 쓸 수 있음. 도커 Linux로 쓰거나 유사 다른 툴을 사용할 수 있음.

en0 또는 en1이 Wi-Fi 섹션

inet 다음에 나오는 주소가 IPv4

en0: flags=8863<UP,BROADCAST,SMART,RUNNING,SIMPLEX,MULTICAST> mtu 1500
	options=400<CHANNEL_IO>
	ether c8:89:f3:b5:1e:23
	inet6 fe80::1cbc:139:a887:5474%en0 prefixlen 64 secured scopeid 0xe
	inet 10.177.199.188 netmask 0xfffff800 broadcast 10.177.199.255
	nd6 options=201<PERFORMNUD,DAD>
	media: autoselect
	status: active

용어 정리

• mtu 1500
  NIC로 보낼 수 있는 최대 데이터 크기이며 현재는 1500바이트
  변경할 수도 있지만 다른 인터페이스와 맞지 않으면 패킷 손실이나 오류 발생
  왜냐면 다른 NIC가 더 작은 mtu를 가지고 있으면 오히려 더 비효율적으로 분할됨
  이런 식으로 변경할 수 있음

sudo ifconfig en0 mtu 9000 up

• ether c8:89:f3:b5:1e:23
  NIC MAC 주소. 네트워크 장치 고유 식별자.

• inet6 fe80::1cbc:139:a887:5474%en0
  IPv6. fe80은 로컬 링크 주소임. 같은 물리 또는 논리적 네트워크 내에서만 통신
  %en0 이거는 네트워크 인터페이스 이름임. 즉 이 IPv6는 en0인터페이스에서만 접근 가능하다는 말.

• inet 10.177.199.188 netmask 0xfffff800 broadcast 10.177.199.255
  IPv4가 10.177.199.199
  서브넷마스크 0xfffff800는 255.255.248.0이며 CIDR 표기법으로는 /21
  브로드캐스트는 10.177.199.255 이 주소로 동일 네트워크 디바이스에 모두 패킷 전송하는 것

진짜 ip 필터링

(tcp.port == 443) && ((ip.src == 10.177.000.000 && ip.dst == 142.250.207.110) || (ip.src == 142.250.207.110 && ip.dst == 10.177.000.000))

그래도 많이 들어온다.