Πίσω στο blog

English  ·  Ελληνικά

MikroTik / RouterOS  ·  Οδηγος  ·  Ιουλιος 2026

MikroTik
Packet Sniffer & Port Mirror

Όταν ένα πρόβλημα είναι «η εφαρμογή είναι αργή» ή «το τηλέφωνο κόβει κλήσεις», οι μετρητές και τα logs τελειώνουν τις απαντήσεις και χρειάζεσαι να δεις τα πραγματικά πακέτα. Το RouterOS σου δίνει δύο τρόπους: ένα port mirror του switch chip για SPAN σε line-rate μέσα σε πραγματικό analyser, και ένα built-in sniffer που κάνει streaming κατευθείαν στο Wireshark. Το post SPAN & RSPAN της Cisco, σε RouterOS.

MikroTik RouterOS Port Mirror Sniffer Wireshark

Υπάρχουν δύο θεμελιωδώς διαφορετικοί τρόποι για capture σε RouterOS, και το να διαλέξεις τον λάθος χαλάει ένα απόγευμα. Το port mirror του switch chip αντιγράφει frames από ένα port σε άλλο εντελώς σε hardware — line-rate, μηδενικό κόστος CPU, αλλά τυφλό σε ό,τι δεν βλέπει το switch chip και τόσο ευέλικτο όσο επιτρέπει το chip. Το software sniffer (/tool sniffer) τρέχει στο CPU: τεράστια ευέλικτο filtering, μπορεί να κάνει capture την κίνηση του ίδιου του router, και μπορεί να κάνει stream ζωντανά στο Wireshark — αλλά κοστίζει CPU και μπορεί να ρίξει πακέτα υπό βαρύ φορτίο.

Κανόνας: mirror όταν χρειάζεσαι κάθε πακέτο σε ταχύτητα καλωδίου μέσα σε αφιερωμένο analyser (αντιστοιχεί στο SPAN της Cisco)· sniff όταν χρειάζεσαι έξυπνα φίλτρα ή θέλεις το capture στο laptop σου αμέσως τώρα. Και τα δύο αντιστοιχούν στο Cisco IOS: SPAN & RSPAN Port Mirroring — hardware SPAN έναντι της ευελιξίας του capture on-box.

Προαπαιτουμενα

01

Port Mirror του Switch-Chip — Hardware SPAN

Η επιλογή μηδενικού overhead. Πες στο switch chip να αντιγράφει ό,τι είναι σε ένα source port προς ένα target port όπου είναι συνδεδεμένος ο analyser σου (ή ένα laptop που τρέχει Wireshark).

Terminal — mirror ether3 σε ether5 σε hardware 
> /interface ethernet switch print   # επιβεβαίωσε ότι το box έχει switch chip

# Αντίγραψε όλη την κίνηση που βλέπεται στο source port προς το target port.
# Ο analyser στο ether5 βλέπει πιστό αντίγραφο σε line rate, καμία επιβάρυνση CPU.
> /interface ethernet switch set [find] mirror-source=ether3 mirror-target=ether5
# Κάποια chips χωρίζουν κατεύθυνση: mirror-egress-target / mirror-ingress για
# capture ανά κατεύθυνση. Έλεγξε τι εκθέτει το ΔΙΚΟ σου μοντέλο πριν υποθέσεις.
⚠ Παγιδα — Το Port Mirror-Target Καταναλωνεται

Το port mirror-target γίνεται port μόνο-για-capture — τροφοδοτεί αντιγραμμένα frames προς τα έξω και δεν πρέπει να κουβαλά κανονική κίνηση, ακριβώς όπως ένας προορισμός SPAN της Cisco. Μη κάνεις mirror σε port που είναι επίσης ζωντανό uplink ή μέλος bridge, αλλιώς θα πάρεις μπερδεμένη διπλή κίνηση και πιθανώς βρόχο. Αφιέρωσε το target port στον analyser. Και θυμήσου ότι το switch chip βλέπει μόνο ό,τι γίνεται switch σε hardware — κίνηση που χειρίζεται το CPU (κάποια routed ή VLAN paths σε ορισμένα μοντέλα) δεν θα εμφανιστεί· αυτή είναι η δουλειά του sniffer.

02

Το Software Sniffer — Φιλτραρε Σκληρα

Όταν θέλεις «μόνο το VoIP ανάμεσα στο τηλέφωνο και το PBX» και τίποτα άλλο, τα φίλτρα του sniffer CPU δικαιολογούν την ύπαρξή τους. Κάνε capture σε μνήμη ή αρχείο, μετά διάβασέ το πίσω.

Terminal — στοχευμενο capture σε αρχειο pcap 
# Στένεψε το capture πριν ξεκινήσεις — τα φίλτρα κρατούν χαμηλά CPU και θόρυβο.
> /tool sniffer set filter-interface=vlan50-voip \
    filter-ip-address=10.10.50.0/24 filter-port=sip \
    file-name=voip.pcap file-limit=10000KiB
> /tool sniffer start
# ...αναπαρήγαγε το πρόβλημα...
> /tool sniffer stop
> /tool sniffer packet print          # γρήγορη ματιά on-box
# Μετά τράβηξε το voip.pcap με WinBox και άνοιξέ το στο Wireshark.

03

Καν' το Stream Ζωντανα στο Wireshark Ασφαλες να το Τρεξεις

Το καλύτερο και των δύο: το filtering του sniffer με ζωντανή προβολή στο laptop σου. Το RouterOS τυλίγει τα πακέτα που έκανε capture σε TZSP και τα στέλνει σε έναν host όπου το Wireshark τα κάνει decode σε πραγματικό χρόνο.

Terminal — TZSP stream προς το workstation σου 
> /tool sniffer set streaming-enabled=yes streaming-server=10.10.99.10 \
    filter-interface=ether3 filter-stream=yes
> /tool sniffer start
# Στο 10.10.99.10, τρέξε Wireshark με capture filter 'udp port 37008'
# — κάνει αυτόματα decapsulate το TZSP και βλέπεις τα πακέτα ζωντανά.
# Σταμάτησέ το όταν τελειώσεις· το streaming κοστίζει CPU στον router.
> /tool sniffer stop
◆ Ιδιο Εργαλειο, και οι Δυο Καρεκλες

Αυτές είναι ακριβώς οι δυνατότητες που καταχράται η επιθετική πλευρά μόλις είναι πάνω σε ένα box — ένα RouterOS που έχει συμβιβαστεί με το sniffer να κάνει streaming είναι παθητική υποκλοπή ό,τι το διασχίζει. Γι' αυτό το πέρασμα θωράκισης κλειδώνει την πρόσβαση management: το sniffer είναι δώρο σε όποιον ελέγχει τον router. Νόμιμα, είναι ο ταχύτερος τρόπος να τελειώσεις έναν καβγά «το δίκτυο είναι χαλασμένο» με ένα packet capture. Ξέρε ότι κάνει και τα δύο.

Βασικα Συμπερασματα

  1. Δύο μέθοδοι capture, διαφορετικά trade-offs: hardware port mirror (line-rate, μηδέν CPU, περιορισμένο από το chip) vs software sniffer (ευέλικτα φίλτρα, κόστος CPU, μπορεί να ρίξει υπό φορτίο).
  2. Mirror για όγκο μέσα σε analyser — το αντίστοιχο σε RouterOS του SPAN της Cisco. Αφιέρωσε το target port· μην το κάνεις ζωντανό link.
  3. Το switch chip βλέπει μόνο switched κίνηση — paths που χειρίζεται το CPU χρειάζονται το sniffer.
  4. Φίλτραρε σκληρά το sniffer (interface, address, port) για να γλιτώσεις CPU και να κόψεις θόρυβο· κάνε capture σε pcap και άνοιξέ το στο Wireshark.
  5. Κάν' το stream μέσω TZSP για ζωντανή προβολή στο workstation σου — το filtering του sniffer με το decode του Wireshark, σε πραγματικό χρόνο.
  6. Το capture ειναι dual-use — το ίδιο feature είναι παθητική υποκλοπή στα χέρια ενός επιτιθέμενου, γι' αυτό έχει σημασία το lockdown management.

Ενα διαλειπον προβλημα δικτυου που κανεις δεν μπορει να εντοπισει;

Το «απλώς είναι αργό μερικές φορές» είναι το πιο δύσκολο είδος ticket να κλείσεις. Τα διαγιγνώσκω σε MikroTik και Cisco με capture και ανάλυση σε επίπεδο πακέτου μέχρι να καταλήξουν σε πραγματική ριζική αιτία — και διόρθωση.

Κλεισε μια Discovery Call →