Les commandes et les écrans ci-dessous ont été vérifiés sur Debian 13 (Trixie) avec sngrep 1.8.2.

Installation

apt install sngrep

La capture réseau demande les droits root : lancé par un utilisateur normal, sngrep s’arrête avec Couldn't activate capture: socket: Operation not permitted. Utilisez sudo pour la capture en direct. La lecture d’un fichier pcap, elle, ne demande aucun droit particulier.

Capture en direct

sudo sngrep

Par défaut, sngrep écoute sur toutes les interfaces (any) et affiche tous les paquets SIP qu’il reconnaît. Pour restreindre :

sudo sngrep -d eth0                      # une seule interface
sudo sngrep -d eth0 port 5060            # filtre BPF, même syntaxe que tcpdump
sudo sngrep -d eth0 host 192.168.1.1 and udp
sudo sngrep -c                           # uniquement les dialogues qui commencent par un INVITE

L’option -c est la plus utile sur un serveur chargé : elle masque les REGISTER, OPTIONS et autres messages qui noient les appels.

La liste des dialogues

L’écran principal liste un dialogue SIP par ligne : méthode, appelant, appelé, nombre de messages, source et destination.

                         sngrep - SIP messages flow viewer
  Current Mode: Offline          Dialogs: 2          Filename: test.pcap
  Match Expression:              BPF Filter:
  Display Filter:
      ^Idx Method     SIP From            SIP To                  Msgs  Source              Destination
  [ ] 1    INVITE     101@192.168.1.1     102@192.168.1.1         7     192.168.1.20:5060   192.168.1.1:5060
  [ ] 2    INVITE     101@192.168.1.1     0600000000@192.168.1.1  5     192.168.1.20:5060   192.168.1.1:5060

Esc Quit   Enter Show   Space Select   F1 Help   F2 Save   F3 Search   F4 Extended   F5 Clear   F7 Filter

Touches principales sur cet écran :

Entrée    afficher le diagramme du dialogue sélectionné
Espace    sélectionner plusieurs dialogues (Entrée les affiche ensemble)
F3 ou /   filtre d'affichage : ne garder que les lignes contenant un texte
F4 ou x   diagramme étendu (le dialogue et ceux qui lui sont liés)
F6 ou R   messages bruts du dialogue sélectionné
F7 ou F   filtres : SIP From, SIP To, source, destination, contenu, méthodes
F2 ou S   enregistrer la capture
F5        vider la liste (irréversible)
p         suspendre ou reprendre la capture
F1 ou h   aide
Échap, q  revenir à l'écran précédent ou quitter

Le filtre F7 permet notamment de décocher REGISTER, OPTIONS ou NOTIFY pour ne garder que les appels.

Le diagramme d’un appel

Entrée sur un dialogue affiche son diagramme de séquence, avec l’horodatage et le délai entre chaque message. Le message sélectionné est affiché en entier sur la droite.

                   Call flow for c1@192.168.1.20 (Color by Request/Response)
                                                        │INVITE sip:102@192.168.1.1 SIP/2.0
            192.168.1.20:5060      192.168.1.1:5060     │Via: SIP/2.0/UDP 192.168.1.20:5060;branch=...
          ──────────┬─────────  ──────────┬─────────    │From: <sip:101@192.168.1.1>;tag=ac1
  00:16:40.000000   │        INVITE       │             │To: <sip:102@192.168.1.1>
        +0.010000   │ ──────────────────> │             │Call-ID: c1@192.168.1.20
  00:16:40.010000   │      100 Trying     │             │CSeq: 1 INVITE
        +0.490000   │ <────────────────── │             │Content-Length: 0
  00:16:40.500000   │     180 Ringing     │
        +2.500000   │ <────────────────── │
  00:16:43.000000   │        200 OK       │
        +0.050000   │ <────────────────── │
  00:16:43.050000   │         ACK         │
       +16.950000   │ ──────────────────> │
  00:17:00.000000   │         BYE         │
        +0.020000   │ ──────────────────> │
  00:17:00.020000   │        200 OK       │
                    │ <────────────────── │

Touches sur cet écran :

↑ ↓       passer d'un message à l'autre
Entrée    afficher le message sélectionné en brut
Espace    sélectionner deux messages pour les comparer
F2 ou d   afficher le détail SDP (codecs, adresses et ports média)
F3 ou m   afficher ou masquer les flux RTP (avec la capture RTP activée)
s         diagramme compressé
c         changer le mode de couleur
Échap     revenir à la liste

Ce que l’on lit dans le diagramme :

• Un INVITE répété sans réponse : les retransmissions indiquent que le message n’arrive pas ou que la réponse ne revient pas. On regarde alors le pare-feu ou le routage.
• Un 200 OK répété après le décroché : l’ACK n’arrive pas au destinataire. Classique avec un NAT mal géré, l’appel est souvent coupé au bout d’une trentaine de secondes.
• Une réponse 4xx, 5xx ou 6xx : le code donne la cause du refus (401/407 authentification, 404 numéro inconnu, 486 occupé, 488 codecs incompatibles, 503 service indisponible…).
• Un appel établi sans son : comparez les adresses IP du SDP (touche F2) dans l’INVITE et dans le 200 OK. Une adresse privée qui part vers l’extérieur trahit un problème de NAT.

Expression de recherche : ne capturer que certains appels

Un texte donné en argument filtre les dialogues dès la capture : si la requête qui ouvre le dialogue contient ce texte, tout le dialogue est conservé, réponses comprises.

sudo sngrep -c 0600000000

Seuls les appels contenant ce numéro sont affichés. Attention, la recherche porte sur la requête initiale (l’INVITE) : sngrep 486 ne trouvera pas les appels rejetés en « 486 Busy Here », car ce code n’apparaît que dans la réponse. Pour cela, utilisez le filtre d’affichage F3 une fois la capture lancée.

Autres options :

-i        rendre la recherche insensible à la casse
-v        inverser la recherche (exclure les dialogues qui correspondent)

Enregistrer et relire une capture

Enregistrer tout ce qui est capturé dans un fichier pcap, tout en gardant l’interface :

sudo sngrep -d eth0 -O /tmp/sip-$(date +%F-%H%M).pcap port 5060

Capturer sans interface, par exemple pendant qu’on reproduit un problème depuis un poste :

sudo sngrep -N -c -O /tmp/appels.pcap

sngrep affiche seulement le nombre de dialogues capturés ; on arrête avec Ctrl+C. Avec une expression de recherche, seuls les dialogues correspondants sont écrits dans le fichier :

sudo sngrep -N -O /tmp/appel-client.pcap 0600000000

Relire ensuite le fichier, sur le serveur ou sur un autre poste, sans droits root :

sngrep -I /tmp/appels.pcap

Le fichier est au format pcap standard : il s’ouvre aussi dans Wireshark ou avec tcpdump -r. Les filtres BPF fonctionnent aussi en lecture : sngrep -I capture.pcap host 192.168.1.1.

Depuis l’interface, F2 ouvre la fenêtre d’enregistrement. On y choisit les dialogues à garder (tous, sélectionnés avec Espace, ou filtrés) et le format : pcap avec le SIP seul, pcap avec SIP et RTP, ou texte.

  ┌─ Dialogs ───────────────────┐ ┌─ Format ────────────────────┐
  │(*) all dialogs              │ │(*) .pcap (SIP)              │
  │( ) selected dialogs [0]     │ │(-) .pcap (SIP + RTP)        │
  │( ) filtered dialogs [2]     │ │( ) .txt                     │
  └─────────────────────────────┘ └─────────────────────────────┘

Le format « SIP + RTP » n’est disponible que si la capture a été lancée avec -r, qui conserve le contenu des paquets RTP en mémoire :

sudo sngrep -c -r -O /tmp/appel-avec-son.pcap

Le son peut ensuite être écouté dans Wireshark (menu Telephony > VoIP Calls). Attention à la mémoire : avec -r, chaque appel occupe nettement plus de place.

Longues captures

sngrep garde les dialogues en mémoire, avec une limite par défaut de 20 000 dialogues. Pour le laisser tourner longtemps sur un serveur chargé :

sudo sngrep -c -l 5000 -R

-l fixe la limite et -R supprime les dialogues les plus anciens quand elle est atteinte, au lieu d’arrêter la capture.

Configuration

Les réglages par défaut se placent dans /etc/sngreprc (pour tout le système) ou ~/.sngreprc (pour un utilisateur). Le fichier livré par Debian contient tous les réglages possibles, en commentaire. Exemple :

vi ~/.sngreprc

# Interface et filtre par défaut
set capture.device eth0
set filter.methods INVITE
# Dossier proposé à l'enregistrement (F2)
set sngrep.savepath /tmp/sngrep-captures
# Ne pas demander de confirmation en quittant
set cl.noexitprompt on

Pour afficher la configuration active : sngrep -D.

Pour aller plus loin

• SIP sur TLS : l’option -k accepte la clé privée RSA du serveur pour déchiffrer les paquets capturés.
• HEP/EEP : sngrep peut recevoir des paquets encapsulés envoyés par un IPBX ou un SBC (-L udp:0.0.0.0:9060) ou en envoyer vers un serveur Homer (-H udp:192.168.1.50:9060). Pratique pour observer un équipement sur lequel on ne peut pas installer sngrep.

En résumé

sudo sngrep -c                               # voir les appels en direct
sudo sngrep -c 0600000000                    # suivre un numéro
sudo sngrep -N -c -O /tmp/appels.pcap        # capturer sans interface
sngrep -I /tmp/appels.pcap                   # relire une capture

Sources

• sngrep sur GitHub (Irontec)
• sngrep(8), Debian Trixie
• Paquet sngrep, Debian Trixie
• RFC 3261 : SIP

Les commandes ci-dessous ont été vérifiées sur Debian 13 (Trixie) avec gping 1.19.0, oping 1.10.0 et fping 5.1.

Lequel choisir ?

• gping : un graphique de latence en temps réel, une courbe colorée par hôte. Idéal pour comparer 2 à 6 cibles.
• noping : un tableau de bord ncurses, un cadre de statistiques par hôte. Reste lisible avec une dizaine de cibles ou plus.
• fping : pas d’interface, une sortie texte. Parfait pour balayer une plage d’adresses ou pour un script.

gping : le graphique de latence

gping trace le temps de réponse de chaque hôte sous forme de courbe dans le terminal. Il s’appuie sur la commande ping du système, il ne demande donc aucun droit particulier.

apt install gping

gping 192.168.1.254 192.168.1.10 1.1.1.1

Chaque hôte reçoit sa propre couleur. On quitte avec Ctrl+C.

Options utiles :

-n 1          intervalle entre deux pings, en secondes (0.2 par défaut)
-b 120        durée affichée dans le graphique, en secondes (30 par défaut)
-4 / -6       forcer IPv4 ou IPv6
-i eth0       choisir l'interface de sortie
-s            graphisme simple, pour les terminaux sans caractères braille Unicode
-c red,blue   imposer les couleurs, dans l'ordre des hôtes
--clear       effacer le graphique en quittant

Exemple : surveiller une coupure pendant deux minutes, un ping par seconde :

gping -n 1 -b 120 192.168.1.254 1.1.1.1

gping sait aussi mesurer la durée d’exécution d’une commande plutôt qu’un ping, avec --cmd :

gping --cmd "curl -so /dev/null https://www.debian.org"

Au-delà de cinq ou six courbes, le graphique devient difficile à lire : passez alors à noping.

noping : le tableau de bord ncurses

noping est fourni par le paquet oping, avec oping, son équivalent en sortie texte. Il envoie les requêtes ICMP en parallèle, en IPv4 et IPv6, et affiche un cadre par hôte : paquets envoyés et reçus, pourcentage de perte, latence, et un graphique.

apt install oping

noping 192.168.1.254 192.168.1.10 192.168.1.20 1.1.1.1

Pas besoin de sudo : à l’installation, le paquet Debian donne la capacité cap_net_raw aux binaires (ou le bit setuid si setcap n’est pas disponible). Vérification :

getcap /usr/bin/noping
# /usr/bin/noping cap_net_raw=ep

Les temps de réponse sont colorés : vert pour les valeurs habituelles, jaune pour les valeurs inhabituelles, rouge pour les valeurs aberrantes. Un paquet perdu s’affiche sous forme de point d’exclamation rouge.

Touches pendant l’exécution :

g     changer le type de graphique
+ -   agrandir ou réduire les cadres
a     ajouter un hôte à la volée

On quitte avec Ctrl+C.

Pour une liste d’équipements à surveiller régulièrement, mettez-les dans un fichier, une adresse par ligne :

vi ~/hotes.txt

192.168.1.254
192.168.1.10
192.168.1.20
192.168.1.30

noping -f ~/hotes.txt

Options utiles :

-i 0.5        intervalle entre deux pings, en secondes
-g histogram  type de graphique : prettyping (défaut), histogram, boxplot ou none
-H 3          hauteur des cadres, de 1 à 5 lignes (réduire pour voir plus d'hôtes)
-O ping.csv   enregistrer chaque mesure dans un fichier CSV (horodatage, hôte, latence)
-b            bip à chaque réponse, pratique pour suivre le redémarrage d'une machine

Exemple : cadres compacts pour faire tenir plus d’hôtes à l’écran, avec enregistrement des mesures :

noping -H 2 -O ~/ping-$(date +%F).csv -f ~/hotes.txt

fping : balayer une plage et scripter

fping n’a pas d’interface graphique, mais il est imbattable pour savoir rapidement qui répond sur un réseau.

apt install fping

Lister les machines actives d’un sous-réseau, avec leur temps de réponse :

fping -a -e -g 192.168.1.0/24 2>/dev/null

192.168.1.10 (0.164 ms)
192.168.1.20 (0.059 ms)
192.168.1.254 (0.201 ms)

La plage peut aussi s’écrire avec une adresse de début et de fin : fping -a -g 192.168.1.1 192.168.1.50. L’option -u fait l’inverse et liste les cibles qui ne répondent pas.

Envoyer 3 pings à chaque hôte et n’afficher que le bilan :

fping -c 3 -q 192.168.1.254 192.168.1.10 192.168.1.20

192.168.1.254 : xmt/rcv/%loss = 3/3/0%, min/avg/max = 0.201/0.253/0.303
192.168.1.10  : xmt/rcv/%loss = 3/3/0%, min/avg/max = 0.118/0.139/0.153
192.168.1.20  : xmt/rcv/%loss = 3/3/0%, min/avg/max = 0.043/0.048/0.053

Surveiller en continu avec un bilan toutes les 10 secondes :

fping -l -Q 10 -f ~/hotes.txt

Le même fichier d’hôtes que pour noping fonctionne avec -f.

En résumé

gping 192.168.1.254 1.1.1.1                # comparer quelques hôtes sur un graphique
noping -f ~/hotes.txt                       # tableau de bord pour une liste d'équipements
fping -a -e -g 192.168.1.0/24 2>/dev/null   # qui répond sur le réseau ?

Sources

• gping sur GitHub
• noping(8), Debian Trixie
• liboping (oping et noping) sur GitHub
• fping.org