Tcpdump es un comando utilizado en varios sistemas operativos Linux (SOs) que reúne paquetes TCP/IP que pasan a través de un adaptador de red. Al igual que una herramienta de rastreo de paquetes, tcpdump no sólo puede analizar el tráfico de red sino también guardarlo en un archivo.

A diferencia de algunos comandos que el sistema operativo proporciona por defecto, es posible que no pueda usar tcpdump porque no está instalado. Para instalar tcpdump, ejecute apt-get install tcpdump o yum install tcpdump , dependiendo de su SO.

Cómo funciona Tcpdump

Tcpdump imprime las cabeceras de los paquetes en una interfaz de red que coinciden con la expresión booleana . También puede ejecutarse con el indicador -w , que hace que guarde los datos del paquete en un archivo para su posterior análisis, y/o con el indicador -r , que hace que lea desde un archivo de paquetes guardado en lugar de leer los paquetes desde una interfaz de red. En todos los casos, sólo los paquetes que coincidan con expression serán procesados por tcpdump.

Tcpdump, si no se ejecuta con la bandera -c , continuará capturando paquetes hasta que sea interrumpido por una señal SIGINT (generada, por ejemplo, escribiendo su carácter de interrupción, típicamente Ctrl+C ) o una señal SIGTERM (generada típicamente con el comando kill (1)); si se ejecuta con el indicador -c , capturará los paquetes hasta que sean interrumpidos por una señal SIGINT o SIGTERM o hasta que se haya procesado el número especificado de paquetes.

Los interruptores mencionados anteriormente se explican en detalle más adelante en esta sección.

Cuando tcpdump termine de capturar paquetes, reportará las cuentas de:

• Paquetes «recibidos por filtro».
  • El significado de esto depende del sistema operativo en el que se esté ejecutando tcpdump, y posiblemente de la forma en que se haya configurado el sistema operativo. Si se especificó un filtro en la línea de comandos, en algunos SOs cuenta los paquetes independientemente de si fueron coincidentes con la expresión del filtro, y en otros sólo cuenta los paquetes que fueron coincidentes con la expresión del filtro y fueron procesados por tcpdump.
• Los paquetes «dejados por el kernel».
  • Este es el número de paquetes que fueron eliminados, debido a la falta de espacio en el búfer, por el mecanismo de captura de paquetes en el SO en el que tcpdump se está ejecutando, si el SO reporta esa información a las aplicaciones. Si no, será reportado como 0.

En plataformas que soportan la señal SIGINFO, como la mayoría de BSDs (Berkeley Software Distributions), reportará esos conteos cuando reciba una señal SIGINFO (generada, por ejemplo, escribiendo el carácter «status», típicamente Ctrl+T ) y continuará capturando paquetes.

Compatibilidad con Tcpdump

La lectura de paquetes desde una interfaz de red con el comando tcpdump puede requerir que tenga privilegios especiales ( leer un archivo de paquetes guardado no requiere tales privilegios):

• SunOS 3.x o 4.x con NIT o BPF : Debe tener acceso de lectura a /dev/nit or dev/bpf*.
• Solaris con DLPI : Debe tener acceso de lectura/escritura al pseudodispositivo de red, como /dev/le. Sin embargo, al menos en algunas versiones de Solaris, esto no es suficiente para permitir que tcpdump capture en modo promiscuo; en esas versiones de Solaris, debe ser root, o tcpdump debe instalarse setuid a root, para poder capturar en modo promiscuo. Tenga en cuenta que, en muchas (quizás en todas) las interfaces, si no captura en modo promiscuo, no verá ningún paquete saliente, por lo que una captura no realizada en modo promiscuo puede no ser muy útil.
• HP-UX con DLPI : Debe ser root o tcpdump debe instalarse setuid a root.
• IRIX con snoop : Debe ser root o tcpdump debe instalarse setuid a root.
• Linux : Debe ser root o tcpdump debe instalarse setuid a root.
• Ultrix y Digital UNIX / Tru64 UNIX : Cualquier usuario puede capturar tráfico de red con tcpdump. Sin embargo, ningún usuario (ni siquiera el superusuario) puede capturar en modo promiscuo en una interfaz a menos que el superusuario haya habilitado la operación en modo promiscuo en esa interfaz utilizando pfconfig(8), y ningún usuario (ni siquiera el superusuario) puede capturar tráfico unidifusión recibido o enviado por la máquina en una interfaz a menos que el superusuario haya habilitado la operación en modo copia en esa interfaz utilizando pfconfig, por lo que useful la captura de paquetes en una interfaz probablemente requiera que se habilite la operación en modo promiscuo o en modo copia en modo copia en modo copia, o que se habiliten ambos modos de operación en esa interfaz.

• BSD : Debe tener acceso de lectura a /dev/bpf*.

Sintaxis del comando Tcpdump

Como todos los comandos del ordenador, el comando tcpdump funciona correctamente sólo si la sintaxis es correcta:

tcpdump [ -adeflnNOpqRStuvxX ] [ -c count ]

-C file_size ] [ -F file ]

[ -i interfaz ] [ [ -m módulo [ -r archivo ]

[ -s snaplen ] [ -T type [ -U user [ [ -w file ]

-E algo:secret ] [ expression ]

Opciones de comando de Tcpdump

Estas son todas las opciones que puede usar con el comando tcpdump:

• -a : Intenta convertir direcciones de red y de difusión en nombres.
• -c : Salir después de recibir cuenta paquetes.
• -C : Antes de escribir un paquete sin procesar en un archivo guardar, compruebe si el archivo es actualmente mayor que file_size y, si es así, cierre el archivo guardar actual y abra uno nuevo. Los archivos guardados después del primer archivo guardado tendrán el nombre especificado con la bandera -w , con un número después, comenzando en 2 y continuando hacia arriba. Las unidades de file_size son millones de bytes (1.000.000 bytes, no 1.048.576 bytes).
• -d : Volcar el código de emparejamiento de paquetes compilado en una forma legible por el ser humano a la salida estándar y detenerlo.
• -dd : Código de correspondencia de paquetes de volcado como un fragmento de programa C .
• -ddd : Código de correspondencia de paquetes de volcado como números decimales (precedidos de un recuento).
• -e : Imprime el encabezado de nivel de enlace en cada línea de volcado.
• -E : Utilice algo:secret para descifrar paquetes ESP de IPsec. Los algoritmos pueden ser des-cbc , 3des-cbc , blowfish-cbc , rc3-cbc , cast128-cbc , o ninguno . El valor predeterminado es des-cbc . La capacidad de descifrar paquetes sólo está presente si tcpdump fue compilado con criptografía habilitada. «secret» es el texto ASCII para la tecla ESP «secret». La opción asume RFC2406 ESP, no RFC1827 ESP. La opción es sólo para propósitos de depuración, y se desaconseja el uso de esta opción con una verdadera clave «secreta». Al presentar la clave «secreta» IPsec en la línea de comandos, la hace visible para los demás, a través de ps(1) y en otras ocasiones.

• -f : Imprimir las direcciones de Internet «extranjeras» numéricamente en lugar de simbólicamente (esta opción está pensada para evitar fallos en el servidor YP de Sun – normalmente se cuelga mientras se traducen los números de Internet no locales).
• -F : Utilice file como entrada para la expresión del filtro. Una expresión adicional dada en la línea de comandos es ignorada.
• -i : Escuchar en interfaz. Si no se especifica, tcpdump busca en la lista de interfaces del sistema la interfaz configurada y numerada más baja (excluyendo loopback). Los empates se rompen eligiendo la primera coincidencia. En sistemas Linux con núcleos 2.2 o posteriores, se puede usar un argumento interface de «any» para capturar paquetes desde todas las interfaces. Tenga en cuenta que las capturas en el dispositivo «any»’ no se realizarán en modo promiscuo.
• -l : Hacer que la línea de stdout sea tamponada. Útil si desea ver los datos mientras los captura. Por ejemplo, «tcpdump -l | tee dat» o «tcpdump -l> dat & tail -f dat».
• -m : Cargar las definiciones de los módulos MIB SMI desde el archivo module. Esta opción puede utilizarse varias veces para cargar varios módulos MIB en tcpdump.

• -n : No convierta direcciones de host en nombres. Esto se puede utilizar para evitar las búsquedas de DNS.
• -nn : Tampoco convierta protocolos y números de puerto, etc., a nombres.
• -N : No imprima la calificación del nombre de dominio de los nombres de host. Por ejemplo, si da esta bandera, entonces tcpdump imprimirá «nic» en lugar de «nic.ddn.mil».
• -O : No ejecute el optimizador de código de correspondencia de paquetes. Esto es útil sólo si sospecha de un error en el optimizador.
• -p : No ponga la interfaz en modo promiscuo. Tenga en cuenta que la interfaz puede estar en modo promiscuo por alguna otra razón; por lo tanto, «-p» no puede utilizarse como abreviatura de «ether host {local-hw-addr} or ether broadcast».
• -q : Salida rápida (silenciosa). Imprima menos información de protocolo para que las líneas de salida sean más cortas.
• -R : Suponga que los paquetes ESP/AH se basan en especificaciones antiguas: RFC1825 a RFC1829. Si se especifica, tcpdump no imprimirá el campo de prevención de repetición. Puesto que no hay ningún campo de versión de protocolo en la especificación ESP/AH, tcpdump no puede deducir la versión del protocolo ESP/AH.
• -r : Leer paquetes de archivo (que fue creado con la opción -w). La entrada estándar se utiliza si file es «-».