<h1 id="wsl-docker-">WSL Docker 抓包</h1>
首先写出结论:
<ol>
<li>WSL 的 Docker 中无法抓 WSL 和 Windows 的包，但是可以用于测试 Docker 抓包</li>
<li>Docker 可以用来抓包</li>
</ol>
<hr>
项目中需要使用 Suricata 来抓包（如果不知道 Suricata 是啥可以理解为 tcpdump。后续为了验证方便，使用 tcpdump 为例），由于环境较为混乱，因此期望使用 Docker 部署，故需要研究如何在 Docker 内进行抓包。
<h2 id="docker-">Docker 网络模式</h2>
Docker 本质上仍然是运行在机器上的一个程序，因此通过配置，可以控制其网络模式。
Docker 包含有如下几种网络模式:
<ul>
<li>bridge: 默认选项，桥接网络，独立的网络环境</li>
<li>host: 取消网络隔离，直接使用主机网络</li>
<li>overlay: 允许多个容器共用网络，可以使用 <code>--net=container:web1</code> 或 <code>--link web1</code> 来使得当前容器和 web1 共享网络</li>
<li>macvlan: 为容器分配一个 MAC 地址，使其如同网络上的一个物理设备</li>
<li>none: 不配置网络</li>
</ul>
这里由于需要抓取宿主机的流量，因此应该使用 host 模式
<h2 id="docker--tcpdump--docker-">Docker 内运行 tcpdump 抓 Docker 外数据</h2>
由于大部分情况下，容器内外环境隔离，容器内的操作对宿主机只是普通用户权限（尽管在容器内是 root）。当监听宿主机 eth0 接口时，需要宿主机 root 权限，需要使用 <code>--privileged</code> 来给对应容器权限
下面，构建一个简单的 tcpdump 镜像，并启动监听
<pre style="background-color:#fff">echo -e &#34;FROM alpine\nRUN apk add tcpdump&#34; | docker build -t tcpdump -
docker run --net=host --privileged tcpdump tcpdump -i eth0 -vvv
</pre>在大部分情况下（正经 Linux），这里已经可以正确抓到包了。新开一个 Shell，执行 <code>curl www.baidu.com</code>，就可以看到对应的内容。
但是，由于 WSL Docker 的实现原理，Docker 服务端实际上运行在一个隔离的 Hyper-V 虚拟机内，因此 host 实际上连接的是这个虚拟机的网络，既不是 WSL、也不是 Windows。因此只能抓到一些无关紧要的内容
如果不是为了正式使用，而是为了测试（一般来说部署服务器应该是正经 Linux），那么可以再构建一个镜像，用于测试。 
使用下面的命令，启动一个新的镜像，也将其连接到网络中
<pre style="background-color:#fff">echo -e &#34;FROM alpine\nRUN apk add curl&#34; | docker build -t test -
docker run --name test --rm -it --net=host test curl www.baidu.com
</pre>执行后，其会在 Docker 服务端对应 Hyper-V 网络环境内执行 <code>curl www.baidu.com</code>，这样就可以被 tcpdump 正确抓取。在正式环境和测试环境下，tcpdump 容器不需要修改，只需要在测试环境添加一个额外的容器即可
下面是 tcpdump 对应的输出
<pre style="background-color:#fff">192.168.65.3.36772 &gt; 198.18.0.185.80: Flags [P.], cksum 0xf629 (correct), seq 1:78, ack 1, win 502, length 77: HTTP, length: 77
 GET / HTTP/1.1
 Host: www.baidu.com
 User-Agent: curl/7.74.0
 Accept: */*

03:23:03.327092 IP (tos 0x0, ttl 38, id 49158, offset 0, flags [none], proto TCP (6), length 40)
198.18.0.185.80 &gt; 192.168.65.3.36772: Flags [.], cksum 0x2e1a (correct), seq 1, ack 78, win 65535, length 0
03:23:03.347776 IP (tos 0x0, ttl 38, id 29802, offset 0, flags [none], proto TCP (6), length 1500)
198.18.0.185.80 &gt; 192.168.65.3.36772: Flags [P.], cksum 0x1e86 (correct), seq 1:1461, ack 78, win 65535, length 1460: HTTP, length: 1460
 HTTP/1.1 200 OK
 Accept-Ranges: bytes
 Cache-Control: private, no-cache, no-store, proxy-revalidate, no-transform
 Connection: keep-alive
 Content-Length: 2381
 Content-Type: text/html
 Date: Thu, 08 Apr 2021 03:23:04 GMT
 Etag: &#34;588604c8-94d&#34;
 Last-Modified: Mon, 23 Jan 2017 13:27:36 GMT
 Pragma: no-cache
 Server: bfe/1.0.8.18
 Set-Cookie: BDORZ=27315; max-age=86400; domain=.baidu.com; path=/

 &lt;!DOCTYPE html&gt;
</pre><h2 id="heading">参考资料</h2>
<ul>
<li><a href="https://docs.docker.com/network/">Docker Doc - Networking overview</a></li>
<li><a href="https://cizixs.com/2016/06/12/docker-network-modes-explained/">Cizixs Write Here — docker 容器的网络模式</a></li>
</ul>