FB7490: Selektives Mitschneiden ausgehender Daten

[Bot N. (botnec)]

Gibt es eine Möglichkeit bei der FB7490 ausgehende Daten SELEKTIV 
aufzuzeichnen?

Ich weiß wie man bei der FB7490 einen Mitschnitt aller ausgehender Daten
erzeugen kann, hätte das aber gerne selektiv nur für bestimmte IPs die
selten vorkommen.

[Jörg R. (solar77)]

Bot N. schrieb:
> Gibt es eine Möglichkeit bei der FB7490 ausgehende Daten SELEKTIV
> aufzuzeichnen?
>
> Ich weiß wie man bei der FB7490 einen Mitschnitt aller ausgehender Daten
> erzeugen kann, hätte das aber gerne selektiv nur für bestimmte IPs die
> selten vorkommen.

Du musst die Daten doch eh über ein Tool (Wireshark etc.) 
weiterverarbeiten. Dort kannst Du dann doch selektieren.

[Bot N. (botnec)]

Jörg R. schrieb:
> Du musst die Daten doch eh über ein Tool (Wireshark etc.)
> weiterverarbeiten. Dort kannst Du dann doch selektieren.

Ist mir klar. Wollte aber die erzeugte Datei möglichst klein halten da 
die Daten die ich sehen möchte nur alle paar Stunden vorkommen.

[Stephan S. (uxdx)]

Bot N. schrieb:
> Ist mir klar. Wollte aber die erzeugte Datei möglichst klein halten da
> die Daten die ich sehen möchte nur alle paar Stunden vorkommen.

Nimm tcpdump und setze Filter https://wiki.ubuntuusers.de/tcpdump/, dann 
mit Wireshark auswerten

[Bot N. (botnec)]

Danke, aber (ich bin jetzt keine Experte) ich möchte sehen was die
Fritzbox ins WEB schickt bzw. empfängt. Wireshark kann das nicht,
da sehe ich nur den lokalen Transfer. Was ich gesehen habe tcpdump kann 
das auch nicht.
Hab es jetzt mit der Fritzbox selber erledigt. Dort kann man zwar nicht
filtern, aber den Mitschnitt kann man längenmäßig begrenzen.
Das reicht mir.

[Ob S. (Firma: 1984now) (observer)]

Bot N. schrieb:

> Danke, aber (ich bin jetzt keine Experte) ich möchte sehen was die
> Fritzbox ins WEB schickt bzw. empfängt. Wireshark kann das nicht,
> da sehe ich nur den lokalen Transfer. Was ich gesehen habe tcpdump kann
> das auch nicht.

Sowohl Wireshark als auch tcpdump können das natürlich prinzipiell. Man 
müsste sie halt nur auf der Fritzbox zum Laufen bringen und nicht auf 
dem lokalen PC.

Witzigerweise macht die Fritzbox das für tcpdump sogar selber, denn das 
Zeug, was sich da über's Webinterface abrufen läßt, kommt letztlich aus 
einer tcpdump-Instanz.

Das Problem ist eigentlich nur, dass AVM es einerseits mal wieder 
unterlassen hat, wichtige Features der verwendeten OSS-Software auch 
über's GUI verfügbar zu machen (hier also die Parametrierbarkeit der 
Capture-Filter für tcpdump), andererseits aber auch den früher mal 
möglichen direkten CLI-Zugang abgewürgt hat, über den man das händisch 
erledigen konnte.

> Hab es jetzt mit der Fritzbox selber erledigt. Dort kann man zwar nicht
> filtern, aber den Mitschnitt kann man längenmäßig begrenzen.
> Das reicht mir.

Nunja, wenn du irgendwie sicherstellen kannst, dass das dich 
interessierende Ereignis in dem kastrierten dump liegt und nicht z.B. 
blöderweise 300µs nach dessen erzwungenen Ende...

Besser wäre zu streamen und clientseitig zu filtern, bevor man speichert 
(wenn man überhaupt speichern muss und nicht bereits die Erkennung des 
gesuchten Ereignisses an sich reicht). Über den Client hat man ja die 
volle Kontrolle.

Klar: man muß schon ein wenig programmieren können, um sowas umzusetzen.

[Martin B. (martin_b563)]

Mit Linux geht das relativ einfach:

Man holt sich „fritzdump.sh“ von 
https://github.com/ntop/ntopng/blob/dev/tools/fritzdump.sh

Mit tshark, wie darin angegeben, geht es bei mir allerdings nicht. 
tshark meldet beim Lesen von der Pipe ein Problem mit dem Format. Ich 
nehme dann tcpdump.

Letzte Zeile also z. B. ... =$SID| tcpdump  -r -  -w test.dmp

Mit dem Filtern kann es bei tcpdump und dem Internetanschluss etwas 
schwierig werden. Also einfach noch eine Pipe nach tshark (von tcpdump 
aus geht das) und dann kann man Wireshark Display-Filter nehmen. Z. B.:

..., =$SID | tcpdump -r - -w - | tshark -r - -Y "udp.port == 53" filtert 
DNS.

Das Shellskript beendet den Paketmitschnitt nicht. Das sollte man dann 
in der FritzBox machen.

[Frank O. (frank_o)]

Bot N. schrieb:
> ich möchte sehen was die
> Fritzbox ins WEB schickt bzw. empfängt.

Dann nimm doch eine richtig gute Firewall. Dann siehst du nicht nur was, 
sondern auch wo und wie es dahin gelangt.
Wenn man sich klar äußert, kann man das Problem auch verstehen.

Und falls es um den Staatstrojaner geht:
https://www.netzwelt.de/news/173544-alles-ueber-staatstrojaner-verstehen-erkennen-entfernen.html
Aber wenn der schon drauf ist, dann haben die dich sowieso am Arsch.
Denn die lassen erst "ihre Freunde" gucken. Die brauchen nämlich kein 
Durchsuchungsbeschluss. Wenn die "Freunde" etwas gefunden haben, dann 
kommt erst die richtige Online-Überwachung.
Also besser gleich LL-Format.