Guide complet de Tcpdump sous Linux

Tcpdump est un outil puissant d’analyse de paquets réseau en ligne de commande disponible sur la plupart des systèmes Unix. Dans ce guide, nous allons explorer ses fonctionnalités essentielles et apprendre à l’utiliser efficacement pour diagnostiquer les problèmes réseau.

Installation de Tcpdump

Sur la plupart des distributions Linux, tcpdump peut être installé via le gestionnaire de paquets :

# Debian/Ubuntu
sudo apt install tcpdump

# Red Hat/CentOS
sudo yum install tcpdump

# Arch Linux
sudo pacman -S tcpdump

Commandes de base

Capture simple

Pour commencer à capturer le trafic sur toutes les interfaces :

sudo tcpdump -i any

Spécifier une interface

Pour capturer le trafic sur une interface spécifique :

sudo tcpdump -i eth0

Afficher les paquets en format lisible

Pour voir le contenu des paquets en ASCII :

sudo tcpdump -A -i eth0

Filtres de capture

Filtrer par hôte

Capturer le trafic d’un hôte spécifique :

sudo tcpdump host 192.168.1.1

Filtrer par port

Capturer le trafic sur un port spécifique :

sudo tcpdump port 80

Filtrer par protocole

Capturer uniquement le trafic TCP :

sudo tcpdump tcp

Expressions de filtrage avancées

Combinaison de filtres

Utiliser des opérateurs logiques (and, or, not) :

# Trafic HTTP vers un hôte spécifique
sudo tcpdump 'tcp port 80 and host 192.168.1.1'

# Trafic SSH ou HTTP
sudo tcpdump 'tcp port 22 or tcp port 80'

Filtrer par direction

Spécifier la direction du trafic :

# Trafic entrant
sudo tcpdump 'dst host 192.168.1.1'

# Trafic sortant
sudo tcpdump 'src host 192.168.1.1'

Enregistrement et analyse

Sauvegarder la capture

Enregistrer la capture dans un fichier pour analyse ultérieure :

sudo tcpdump -w capture.pcap

Lire une capture enregistrée

Analyser un fichier de capture existant :

sudo tcpdump -r capture.pcap

Cas d’utilisation pratiques

Débogage DNS

Capturer les requêtes DNS :

sudo tcpdump -i any port 53

Analyse du trafic HTTP

Capturer et analyser le trafic web :

sudo tcpdump -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

Surveillance des connexions SSH

Monitorer les tentatives de connexion SSH :

sudo tcpdump 'tcp port 22'

Bonnes pratiques et astuces

1. Limitation de la taille des paquets :

   sudo tcpdump -s 96

2. Affichage des timestamps :

   sudo tcpdump -tttt

3. Capture sans résolution DNS :

   sudo tcpdump -n

4. Limiter le nombre de paquets :

   sudo tcpdump -c 100

Dépannage courant

Problèmes de permissions

Si vous rencontrez des erreurs de permission :

• Assurez-vous d’utiliser sudo
• Vérifiez les capabilities avec getcap $(which tcpdump)
• Ajoutez l’utilisateur au groupe approprié

Interface non trouvée

• Vérifiez la liste des interfaces disponibles avec tcpdump -D
• Assurez-vous que l’interface est active

Conclusion

Tcpdump est un outil indispensable pour tout administrateur système Linux. Sa flexibilité et sa puissance en font un choix excellent pour l’analyse réseau, le débogage et la sécurité. Avec les commandes et exemples fournis dans ce guide, vous avez maintenant une base solide pour commencer à utiliser tcpdump efficacement.

Ressources additionnelles

• Documentation officielle de Tcpdump
• Man page de Tcpdump
• Wireshark - Une alternative graphique à tcpdump

N’oubliez pas que la pratique est la clé pour maîtriser tcpdump. Commencez par des captures simples et progressez vers des filtres plus complexes à mesure que vous gagnez en confiance.