tcpdump y Wireshark

Que resuelve

Guia practica para capturar trafico con tcpdump, filtrar paquetes y abrir capturas en Wireshark para diagnostico de red.

warning

Captura solo trafico propio o autorizado. Las capturas pueden contener credenciales, tokens, cookies y datos personales.

Concepto	Uso
Interfaz	Adaptador donde se captura trafico
BPF	Sintaxis de filtros usada por `tcpdump`
PCAP	Archivo de captura para Wireshark
Promiscuous mode	Modo que intenta ver trafico no dirigido al host

ip link

sudo tcpdump -D

sudo tcpdump -i {IFACE}

sudo tcpdump -nni {IFACE}

sudo tcpdump -nni {IFACE} -A

sudo tcpdump -nni {IFACE} -vvv

sudo tcpdump -nni {IFACE} host {HOST}

sudo tcpdump -nni {IFACE} src host {HOST}

sudo tcpdump -nni {IFACE} dst host {HOST}

sudo tcpdump -nni {IFACE} port {PORT}

sudo tcpdump -nni {IFACE} tcp

sudo tcpdump -nni {IFACE} udp

sudo tcpdump -nni {IFACE} port 53

sudo tcpdump -nni {IFACE} tcp port 80

sudo tcpdump -nni {IFACE} tcp port 443

sudo tcpdump -nni {IFACE} -w capture.pcap

sudo tcpdump -nni {IFACE} -c {COUNT} -w capture.pcap

sudo tcpdump -nni {IFACE} -C 100 -W 5 -w capture.pcap

tcpdump -nnr capture.pcap

tcpdump -nnr capture.pcap host {HOST}

wireshark capture.pcap

sudo tcpdump -nni {IFACE} tcp port {PORT}

sudo tcpdump -nni {IFACE} udp port 53

sudo tcpdump -nni {IFACE} 'tcp[tcpflags] & tcp-syn != 0'

sudo tcpdump -nni {IFACE} icmp

Sintoma	Causa probable	Solucion
No veo trafico	Interfaz incorrecta	Prueba `tcpdump -D`
Nombres lentos	Resolucion DNS activada	Usa `-nn`
PCAP enorme	Captura sin filtro	Filtra por host/puerto y rota
Permiso denegado	Falta privilegio	Usa `sudo` o permisos adecuados

- EOF -