README.linux

   1 $Id: README.linux,v 1.6 2000/02/19 21:44:13 guy Exp $
   2
   3 In order to capture packets (with Ethereal/Tethereal, tcpdump, or any
   4 other packet capture program) on a Linux system, the "packet" protocol
   5 must be supported by your kernel.  If it is not, you may get error
   6 messages such as
   7
   8         modprobe: can't locate module net-pf-17
   9
  10 in "/var/adm/messages".  The following note is from the Linux
  11 "Configure.help" file:
  12
  13         Packet socket
  14         CONFIG_PACKET
  15           The Packet protocol is used by applications which communicate
  16           directly with network devices without an intermediate network
  17           protocol implemented in the kernel, e.g. tcpdump. If you want them
  18           to work, choose Y.
  19
  20           This driver is also available as a module called af_packet.o ( =
  21           code which can be inserted in and removed from the running kernel
  22           whenever you want). If you want to compile it as a module, say M
  23           here and read Documentation/modules.txt; if you use modprobe or
  24           kmod, you may also want to add "alias net-pf-17 af_packet" to
  25           /etc/modules.conf.
  26
  27 In addition, the standard libpcap compiled for Linux has a timeout
  28 problem; it doesn't support the timeout argument to "pcap_open_live()".
  29
  30 The current version of Ethereal attempts to work around this, so its GUI
  31 shouldn't freeze when capturing on a not-so-busy network.  If its GUI
  32 does freeze when that happens, please send a note about this, indicating
  33 which version of which distribution of Linux you're using, and which
  34 version of libpcap you're using, to ethereal-dev@zing.org.
  35
  36 The current version of Ethereal should work with versions of libpcap
  37 that have been patched to fix the timeout problem, as well as working
  38 with unpatched versions.
  39
  40 An additional problem, on Linux, with current versions of libpcap, is
  41 that capture filters do not work when snooping loopback devices; if
  42 you're capturing on a Linux loopback device, do not use a capture
  43 filter, as it will probably reject most if not all packets, including
  44 the packets it's intended to accept - instead, capture all packets and
  45 use a display filter to select the packets you want to see.
  46
  47 In addition, current versions of libpcap on at least some Linux
  48 distributions will not turn promiscuous mode off on a network device
  49 until the program using promiscuous mode exits, so if you start a
  50 capture with Ethereal on some Linux distributions, the network interface
  51 will be put in promiscuous mode and will remain in promiscuous mode
  52 until Ethereal exits.  There might be additional libpcap bugs that cause
  53 it not to be turned off even when Ethereal exits; if your network is
  54 busy, this could cause the Linux networking stack to do a lot more work
  55 discarding packets not intended for the machine, so you may want to
  56 check, after running Ethereal, whether any network interfaces are in
  57 promiscuous mode (the output of "ifconfig -a" will say something such as
  58
  59 eth0      Link encap:Ethernet  HWaddr 00:00:66:66:66:66
  60           inet addr:66.66.66.66  Bcast:66.66.66.255  Mask:255.255.255.0
  61           UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
  62           RX packets:6493 errors:0 dropped:0 overruns:0 frame:0
  63           TX packets:3380 errors:0 dropped:0 overruns:0 carrier:0
  64           collisions:0 txqueuelen:100
  65           Interrupt:18 Base address:0xfc80
  66
  67 with "PROMISC" indicating that the interface is in promiscuous mode),
  68 and, if any interfaces are in promiscuous mode and no capture is being
  69 done on that interface, turn promiscuous mode off by hand with
  70
  71         ifconfig <ifname> -promisc
  72
  73 where "<ifname>" is the name of the interface.