CentOS 7.8 で tcpdump のscript を service に登録してもうまく動きません。

Question

script内容
synflood.sh

#!/bin/bash

tcpdump -i ens33 port 443 -n > /home/userid/synflood.txt

/etc/systemd/system/synflood.service

[Unit]
Description = synflood log
After=network.service

[Service]
ExecStart = /root/synflood.sh
Restart = always
Type = simple

[Install]
WantedBy = multi-user.target

#systemctl enabel synflood
#systemctl start synflood
#systemctl status synflood

● synflood.service - synflood log
Loaded: loaded (/etc/systemd/system/synflood.service; enabled; vendor preset: disabled)
Active: active (running) since 土 2020-09-26 18:46:52 JST; 3s ago
Main PID: 2257 (synflood.sh)
CGroup: /system.slice/synflood.service
├─2257 /bin/bash /root/synflood.sh
└─2258 tcpdump -i ens33 port 443 -n

9月 26 18:46:52 localhost.localdomain systemd[1]: Started synflood log.
9月 26 18:46:52 localhost.localdomain synflood.sh[2257]: tcpdump: verbose o...
9月 26 18:46:52 localhost.localdomain synflood.sh[2257]: listening on ens33...

しかし、/home/userid/synflood.txt
はゼロバイトのまま。

単純に
#./syflood.sh
なら、ダウンプ結果を出力してくれます。

Comments

[hana_yama_san]

systemctl list-unit-files --type=service の結果を表示していたけますか。

[UserOfJava]

synflood.service enabled

になっています。

[hana_yama_san]

承知しました。

tcpdump -i ens33 port 443 -n > /home/userid/synflood.txt　ではなく
tcpdump -i ens33 port 443 -n -w /home/userid/synflood.txt
ではどうなるでしょうか。

[UserOfJava]

ありがとうございます。
バイナリーでの出力はあまり考えていません。

Answer 1

tcpdump -i ens33 port 443 -n > /home/userid/synflood.txt

を

tcpdump -i ens33 port 443 -n >> /home/userid/synflood.txt

にするとlogは取れるようになりました。

Answer 2

tcpdump が標準出力をバッファリングしているのだと思います。
-l オプションを付けるとどうでしょうか？

Comments

[UserOfJava]

回答ありがとうございました。

やはり、０バイトのままです。

#./synflood.sh
では、ちゃんと出力してくれるのに、serviceから同じscript を立ち上げたら、いつまで経っても0バイトは、なんかserviceの書き方が悪いとか？

[TaichiYanagiya]

手元の環境ではできているので、何か手順や環境が異なるのでしょうか。

シェルスクリプトを「tcpdump -i ens33 -l port 443 -n > /home/userid/synflood.txt」にして、"systemctl restart synflood.service" し、"systemctl status synflood.service" で "-l" オプションが付いていることを確認ください。

[UserOfJava]

ありがとうございます。以下の条件でやっています。

kernel: 3.10.0-1127.19.1

tcpdump version 4.9.2
libpcap version 1.5.3
OpenSSL 1.0.2k-fips 26 Jan 2017

やはり0バイトです。jounalctl で調べるとキャプチャーはちゃんとできています。