Tcpdump básico

Este comando é muito útil por exemplo em um firewall linux para que você possa monitorar os pacotes de rede, segue uma utilização básica dele:]

# tcpdump -nli any 'host 192.168.1.3'

tcpdump - é o comando em questão

n - é para não converter os IPs para nomes

l - para que a saída fique organizada em linhas

i - é a interface que aqui foi setada como "any", ou seja, qualquer interface mas poderia ser utilizado qualquer interface como por exemplo "eth0"

Uma opção importante é se você deseja utilizar operadores lógicos como o and e o or

# tcpdump -nli any 'host 192.168.1.3 and host 8.8.4.4'

Desta forma logo acima irá mostrar apenas a comunicação entre os IPs 192.168.1.3 E 8.8.4.4

# tcpdump -nli any 'host 192.168.1.3 or host 8.8.4.4'

Nesta última logo acima irá mostrar qualquer comunicação que envolva os IPs 192.168.1.3 OU 8.8.4.4 mesmo que seja com algum outro IP ex: 192.168.1.6

Você pode também excluir IPs da sua captura:

# tcpdump -nli any 'host 192.168.1.3 and not host 192.168.1.6'

Isso irá excluir da captura qualquer comunicação que envolva o IP 192.168.1.6

Pode ser utilizado também um destino "dst" ou uma origem "src":

# tcpdump -nli any '(dst host 179.181.128.208 or dst host 189.16.237.110) and (port 8080 or 3128 or 80 or 443 or 53)'

Esse é o básico para uma captura e verificação de problemas e nunca esquecer do comando:

# man tcpdump

O man não se pode esquecer para nenhum comando =)

Intelligence Software