[KB7449] Usar tcpdump para realizar una captura de paquetes para Linux

Escenario

Necesita usar tcpdump para realizar una captura de paquetes en un sistema Linux.

Solución

1. Para usar tcpdump para realizar una captura de paquetes necesita lo siguiente:
   • La interfaz (eth1, eth2, etc) para la cual desea capturar el tráfico.
   • Un userid que pueda acceder a la interfaz (usualmente root).
   • Un directorio temporal para almacenar las capturas de paquetes (usualmente /tmp)
     
     
2. Como userid con acceso al dispositivo (root), realizar cd al directorio temporal y crear un subdirectorio.
   • # cd /tmp
   • # mkdir pc
   • # cd pc
     
     
3. Para realizar una captura de un minuto de eth1 inicie la captura con el siguiente comando:
   • # tcpdump -n -nn -N -s 0 -i eth1 -w eth1.pcap
   • # tcpdump: escuchando en eth1, link-type EN10MB (Ethernet), tamaño de captura 65535 bytes
     
     
4. Como una alternativa puede ejecutar la siguiente línea de comando como usuario root que se detendrá automáticamente luego de 60 segundos.
   • # mkdir –p /tmp/cd ; tcpdump -n -nn -N -s 0 -i eth1 -w /tmp/cd/eth1.pcap & pid=$! ; sleep 60 ; kill -1 $pid