寻求基于Raspberry Pi的跨遗留系统数据包实时采集并直接推送至MQTT主题的简便方案

刚好碰到过类似的场景，你的需求完全可以实现，而且几种方法都很简单，完全绕开文件写入和解析的环节。结合你的低流量场景（每秒1个包），下面几个方案都非常适用：

方案1：tshark + 管道 + mosquitto_pub（最快上手） #

tshark支持直接输出结构化的JSON数据，配合管道和MQTT客户端mosquitto_pub，可以把每个数据包实时推送到MQTT主题。关键是要开启行缓冲，确保每个包生成后立刻被推送，而不是攒一批再输出。

示例命令 #

# 替换成你的网卡、目标端口、MQTT broker地址和主题
tshark -i eth0 -f "tcp port 1234" -T json -l | while read packet; do
  mosquitto_pub -h your-mqtt-broker-ip -t "legacy/system/packets" -m "$packet"
done

参数说明 #

• -i eth0：指定监听的网卡（根据你的树莓派实际网卡调整，比如wlan0）
• -f "tcp port 1234"：过滤规则，只抓目标端口的TCP包（换成你需要的协议/端口）
• -T json：输出JSON格式的数据包详情，方便后续集成服务解析
• -l：开启行缓冲，确保每个数据包生成后立即输出到管道
• mosquitto_pub部分：如果你的MQTT broker需要认证，加上-u username -P password参数即可

方案2：Python脚本（Scapy + Paho-MQTT）—— 自定义解析更灵活 #

如果需要对数据包做自定义提取（比如只取payload内容，而不是全量JSON），用Python脚本会更灵活。Scapy负责抓包，Paho-MQTT负责推送，完全可控。

步骤1：安装依赖 #

pip install scapy paho-mqtt

示例脚本 #

from scapy.all import sniff, TCP, IP
import paho.mqtt.client as mqtt
import json

# MQTT配置
MQTT_BROKER = "your-mqtt-broker-ip"
MQTT_PORT = 1883
MQTT_TOPIC = "legacy/system/packets"
MQTT_USER = "your-username"  # 可选，不需要就注释
MQTT_PASS = "your-password"  # 可选，不需要就注释

# MQTT连接回调
def on_connect(client, userdata, flags, rc):
    print(f"Connected to MQTT broker with result code {rc}")

# 初始化MQTT客户端
client = mqtt.Client()
client.on_connect = on_connect
if MQTT_USER and MQTT_PASS:
    client.username_pw_set(MQTT_USER, MQTT_PASS)
client.connect(MQTT_BROKER, MQTT_PORT, 60)
client.loop_start()  # 开启后台循环处理MQTT消息

# 处理每个抓到的数据包
def handle_packet(packet):
    if IP in packet and TCP in packet:
        # 提取你需要的字段，比如源IP、目标IP、payload
        packet_data = {
            "src_ip": packet[IP].src,
            "dst_ip": packet[IP].dst,
            "src_port": packet[TCP].sport,
            "dst_port": packet[TCP].dport,
            "payload": str(packet[TCP].payload)
        }
        # 推送到MQTT主题
        client.publish(MQTT_TOPIC, json.dumps(packet_data))
        print(f"Published packet: {json.dumps(packet_data)}")

# 开始抓包
sniff(iface="eth0", filter="tcp port 1234", prn=handle_packet, store=0)

脚本说明 #

• store=0：不把数据包存在内存里，节省资源（低流量下其实无所谓，但养成好习惯）
• filter：和tshark的过滤规则一致，按需调整
• 你可以根据需求修改handle_packet函数，提取任何你需要的字段，比如只取payload的二进制数据转成base64等

方案3：tcpdump + 管道（适合轻量文本输出） #

如果不想用tshark，tcpdump也可以配合管道实现。不过tcpdump的输出是文本格式，需要自己过滤有用信息，适合只需要简单内容的场景。

示例命令 #

tcpdump -i eth0 -f "tcp port 1234" -n -l -A | while read line; do
  # 这里可以加过滤逻辑，只保留需要的行
  mosquitto_pub -h your-mqtt-broker-ip -t "legacy/system/packets" -m "$line"
done

参数说明 #

• -A：以ASCII格式输出数据包内容
• -n：不解析域名，加快处理速度

额外注意事项 #

1. 网络监听权限：抓包需要root权限，所以所有命令/脚本都要加sudo运行
2. 流量可达性：确保树莓派能抓到两个遗留系统之间的流量——如果是交换机环境，需要把树莓派的网卡设置为镜像端口；如果是直接串联，把树莓派做成网桥即可
3. MQTT稳定性：低流量场景下，MQTT的QoS设置为0就足够，如果需要确保不丢包，可以设为1

内容的提问来源于stack exchange，提问作者ErikR099