libpcap: как получить активный сетевой интерфейс (Mac OSX)

API pcap для поиска интерфейсов, соответствующих некоторым пользовательским правилам, тривиален. Вы действительно можете использовать pcap_findalldevs() для взаимодействия со всеми подходящими для использования сетевыми устройствами или использовать pcap_lookupdev() для получения следующего сетевого устройства, которое вы можете использовать с pcap. Определение того, какой интерфейс вы хотите использовать со своим сниффером, может быть проблематичным (с точки зрения кода) в системах с несколькими сетевыми устройствами, и вы хотели бы определить более четкие правила для выбора такого интерфейса. Такие правила обычно определены статически (например, «активный интерфейс с установленным маршрутом по умолчанию»). Однако у вас может быть несколько маршрутов по умолчанию (подумайте о балансировке нагрузки), и здесь вы можете либо захотеть обнюхать все из них, либо (например) только интерфейс ppp. Таким образом, выбор целевого интерфейса, я бы сказал, является задачей, которая должна решаться вне сниффера, а не во время выполнения в коде сниффера.

Например:

Если под «активным интерфейсом» мы понимаем интерфейс, на котором установлен маршрут по умолчанию (здесь я предполагаю систему Linux):

ip route show 0.0.0.0/0 | awk ' { print $5 ; } ' | xargs ./sniffer

если вы хотите получить активный интерфейс с установленным маршрутом по умолчанию из вашего кода сниффера, вы предпочтете использовать netlink(7) или proc(5) (/proc/net/route), а не API поиска устройства pcap, но сложность высокий.

В заключение, логика поиска интерфейса может быть легко запрограммирована в какой-либо программе-оболочке на любой системе, а результат(ы) передается в качестве параметра(ов) вашему анализатору.

Почему вы не записываете на «любое» устройство (псевдоустройство, которое записывает на всех интерфейсах)?

В любом случае, вот небольшой фрагмент, который поможет вам найти «активные» интерфейсы.

#include <stdio.h>
#include <pcap.h>
#include <sys/socket.h>
#include <netinet/in.h>
#include <arpa/inet.h>

static void
dump_addresses (pcap_addr_t *addresses)
{
 pcap_addr_t *addr = addresses;
 printf("(");
 while (addr) {
  struct sockaddr_in *ip = (struct sockaddr_in *)addr->addr;
  struct sockaddr_in *nm = (struct sockaddr_in *)addr->netmask;
  if (ip && nm)
   printf("%s/%s ",
     inet_ntoa(ip->sin_addr), inet_ntoa(nm->sin_addr));
  addr = addr->next;
 }
 printf(")");
}

static void
devs_dump (pcap_if_t *devs)
{
 pcap_if_t *dev = devs;
 while (dev) {
  printf("dev: %s - %s - ",
    dev->name, dev->description);
  dump_addresses(dev->addresses);
  printf("\n");
  dev = dev->next;
 }
}

int
main(int argc, char *argv[])
{
 int r;
 char errbuf[PCAP_ERRBUF_SIZE];
 pcap_if_t *devs;

 r = pcap_findalldevs (&devs, errbuf);
 if (r) {
  printf("Findalldevs: %d (%s)\n", r, errbuf);
  return -1;
 }
 devs_dump(devs);
 pcap_freealldevs (devs);

 return 0;
}

Я несколько раз шел по этому пути и обычно возвращаюсь к добавлению переключателя -i, чтобы пользователь мог точно идентифицировать интерфейс.

Это упрощает вашу работу и позволяет избежать любых граничных условий.

Согласно pcap_open_live (3):

DESCRIPTION
pcap_open_live() is used to obtain a packet capture handle to
   look at packets on the network.   device  is  a  string  that
   specifies  the  network device to open; on Linux systems with
   2.2 or later kernels, a device argument of "any" or NULL  can
   be used to capture packets from all interfaces.

Но кажется, что сейчас это устарело, вы должны использовать pcap_create(3)