Захват и чтение файла

Сетевой захват идет с выбранного интерфейса; на некоторых системах для этого требуются специальные права. Фильтр ограничивает, какие пакеты попадут в вывод или файл. Если фильтр не задан, tcpdump пытается обрабатывать все доступные на интерфейсе пакеты. Не собирайте все подряд. Вариант с сохранением в файл удобен для последующего просмотра, но такой файл может содержать адреса, имена, токены и части незашифрованных данных.

Фильтр tcpdump использует синтаксис pcap-filter. В нем можно задавать протокол, адрес, порт и составные условия. Запускайте захват с минимально нужным выражением и ограниченной длительностью, если цель - проверить конкретное соединение. Объем данных, которые видит программа, зависит от точки захвата, интерфейса, прав и особенностей ОС.

Как читать счетчики и результат

При завершении программа сообщает число обработанных, принятых фильтром или потерянных пакетов. Значение счетчика «received by filter» различается между операционными системами и способами реализации фильтра. Поэтому его нельзя сравнивать как единый показатель качества разных серверов.

Если в дампе нет ожидаемого пакета, это не всегда значит, что приложение его не отправляло: захват могли вести не на том интерфейсе или без нужных прав. И наоборот, наличие исходящего пакета еще не подтверждает ответ удаленного сервиса. Сопоставляйте направление, временные метки, фильтр и состояние приложения.

Безопасность захвата

Сохраняйте pcap только в месте с ограниченным доступом и удаляйте его по правилам хранения организации. Удаление файла не гарантирует стирание копий из резервных систем. Не записывайте чужой трафик без разрешения владельца сети: даже короткий дамп может содержать закрытую информацию.

Для диагностики пригодятся потеря пакетов, DNS и пропускную способность. Использованы man-pages tcpdump(8) и pcap-filter(7), проверенные 8 октября 2026 года; захват реального трафика не выполнялся.