Guia completo do Tcpdump no Linux

O Tcpdump é uma poderosa ferramenta de linha de comando para análise de pacotes de rede, disponível na maioria dos sistemas Unix. Neste guia, vamos explorar seus recursos essenciais e aprender a usá-lo de forma eficiente para diagnosticar problemas de rede.

Instalação do Tcpdump

Na maioria das distribuições Linux, o tcpdump pode ser instalado por meio do gerenciador de pacotes:

# Debian/Ubuntu
sudo apt install tcpdump

# Red Hat/CentOS
sudo yum install tcpdump

# Arch Linux
sudo pacman -S tcpdump

Comandos básicos

Captura simples

Para começar a capturar o tráfego em todas as interfaces:

sudo tcpdump -i any

Especificar uma interface

Para capturar o tráfego em uma interface específica:

sudo tcpdump -i eth0

Exibir os pacotes em formato legível

Para ver o conteúdo dos pacotes em ASCII:

sudo tcpdump -A -i eth0

Filtros de captura

Filtrar por host

Capturar o tráfego de um host específico:

sudo tcpdump host 192.168.1.1

Filtrar por porta

Capturar o tráfego em uma porta específica:

sudo tcpdump port 80

Filtrar por protocolo

Capturar apenas o tráfego TCP:

sudo tcpdump tcp

Expressões de filtragem avançadas

Combinação de filtros

Usar operadores lógicos (and, or, not):

# Tráfego HTTP para um host específico
sudo tcpdump 'tcp port 80 and host 192.168.1.1'

# Tráfego SSH ou HTTP
sudo tcpdump 'tcp port 22 or tcp port 80'

Filtrar por direção

Especificar a direção do tráfego:

# Tráfego de entrada
sudo tcpdump 'dst host 192.168.1.1'

# Tráfego de saída
sudo tcpdump 'src host 192.168.1.1'

Gravação e análise

Salvar a captura

Gravar a captura em um arquivo para análise posterior:

sudo tcpdump -w capture.pcap

Ler uma captura salva

Analisar um arquivo de captura existente:

sudo tcpdump -r capture.pcap

Casos de uso práticos

Depuração de DNS

Capturar as requisições DNS:

sudo tcpdump -i any port 53

Análise do tráfego HTTP

Capturar e analisar o tráfego web:

sudo tcpdump -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

Monitoramento de conexões SSH

Monitorar as tentativas de conexão SSH:

sudo tcpdump 'tcp port 22'

Boas práticas e dicas

1. Limitação do tamanho dos pacotes:

   sudo tcpdump -s 96

2. Exibição dos timestamps:

   sudo tcpdump -tttt

3. Captura sem resolução de DNS:

   sudo tcpdump -n

4. Limitar o número de pacotes:

   sudo tcpdump -c 100

Solução de problemas comuns

Problemas de permissões

Se você encontrar erros de permissão:

• Certifique-se de usar sudo
• Verifique as capabilities com getcap $(which tcpdump)
• Adicione o usuário ao grupo apropriado

Interface não encontrada

• Verifique a lista de interfaces disponíveis com tcpdump -D
• Certifique-se de que a interface está ativa

Conclusão

O Tcpdump é uma ferramenta indispensável para todo administrador de sistemas Linux. Sua flexibilidade e seu poder fazem dele uma excelente escolha para análise de rede, depuração e segurança. Com os comandos e exemplos apresentados neste guia, você agora tem uma base sólida para começar a usar o tcpdump de forma eficiente.

Recursos adicionais

• Documentação oficial do Tcpdump
• Man page do Tcpdump
• Wireshark - Uma alternativa gráfica ao tcpdump

Lembre-se de que a prática é a chave para dominar o tcpdump. Comece com capturas simples e avance para filtros mais complexos à medida que ganhar confiança.