F5 命令行查看http会话并记录日志,tcpdump抓包以及常用命令

通过抓包查看数据包中的客户端源IP。

-s snaplen snaplen表示从一个包中截取的字节数。0表示包不截断，抓完整的数据包。默认的话 tcpdump 只显示部分数据包,默认68字节。

-v 　　　输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；

tcpdump -ni0.0 -s0 -w /var/tmp/test.cap host 146.240.31.148 -vvv

ssldump -i 1.1 host 145.255.248.82

抓包命令：~# tcpdump -s0 -nni 0.0:nnn host 10.128.48.1 -vw /var/tmp/text.pcap

tcpdump -ni 0.0:nnnp -s0 host 10.27.96.4 and port 443 -vvv -w /appdata/mus.pcap     VS-ip and port  抓包

某vlan下指定某个IP的数据流向分析 tcpdump -ni internal host 10.27.210.4

tcpdump –nivlan_name host ip and port 80 ；某vlan下指定某个IP的80端口的数据流向分析

tcpdump -ni internal host 10.27.210.4 and port 80

F5 命令行查看http会话

命令详解：（tmos）#show sys connection 后面可以加以下参数：

1.VS cs-server-addr 指定活动连接的客户端本地地址。支持子网。【VS-IP 常用】

cs-server-port 指定活动连接的客户端本地端口。 tmsh show sys connection cs-server-addr 58.49.204.248 cs-server-port 443

2.客户源 cs-client-addr 指定活动连接的客户端远程地址。支持子网。【Client-IP】

cs-client-port 指定活动连接的客户端远程端口。 tmsh show sys connection cs-client-addr 223.104.12.112

max-result-limit 指定要显示的最高匹配结果的最大数量。默认 1000。

protocol 指定用于指定连接的协议（例如：tcp、udp）。

3.后端服务器 ss-server-addr 指定活动连接的服务器端远程地址。【Server-IP】

ss-server-port 指定活动连接的服务器端远程端口。 tmsh show sys connection ss-server-addr 10.26.7.6 ss-server-port 443

ss-client-port 指定活动连接的服务器端本地端口。

type 指定用于指定连接的连接类型（例如：any、mirror、self）

常用命令：（tmos）#show sys connection cs-server-addr VS_IP cs-server-port VS_Port

备注：10.128.48.147为F5的SNAT地址

配置记录Log的iRules

Note: 可以看到Pool中成员被访问的客户端源IP的log.

iRules如下：

when CLIENT_ACCEPTED {

set vip [IP::local_addr]:[TCP::local_port]

}

when SERVER_CONNECTED {

set client "[IP::client_addr]:[TCP::client_port]"

set node "[IP::server_addr]:[TCP::server_port]"

log local0.info "Client $client -> VIP: $vip -> Node: $node"

}

将此irules关联VS

后台查看Log日志

Note: 一般可以看到7天左右的日志，如果要看很早的日志，可以查看QKView

cat /var/log/ltm

bigstartrestrart重新bigip进程

查看网络配置信息：

create net route 10.0.0.0/24 gw 10.128.10.1

查看/sys配置信息：

show /net命令：

show /sys命令：

show /sys ip-address | grep 10.25.25

导配置

在tmsh模式下使用相关的测试命令：

创建和删除pool： # create /ltm pool [abc] # delete /ltm pool [abc]

重置pool、vs的统计信息：

启动、停止、重启系统中某个服务：

定义和删除别名：

并添加pool-member：

quit:退出tmos

CRT---SFTP

sftp> cd /var/log #cd目录

sftp> lcd c:\ #lcd本地目的

sftp> get ltm #获取ltm的log