tcpdump とは？

通信を遮断するためのコマンドではないよ。選んだ場所で観測できるパケットを取得し、情報を表示するんだ。ネットワーク全体をどこからでも見られるわけではないので、どのインターフェースで取得するかが大切だよ。

まずtcpdump -Dで取得できるインターフェースを確認しよう。Linuxでeth0があり、sudoで必要な権限を得る例なら、sudo tcpdump -i eth0 -n -c 10となるよ。10パケットで終了し、それより前ならCtrl+Cで止められる。必要な権限は環境によるよ。

ポート番号だけでは中身のプロトコルを断定できないよ。たとえばtcpdump -i eth0 -n -c 10 'tcp port 80'は、送信元か宛先のTCPポートが80のパケットを選ぶ条件だよ。インターフェースや権限は、先ほどの例と同じく環境に合わせよう。

その場所・条件で取れなかっただけかもしれないよ。インターフェースやフィルターが違うこともあるし、OSのバッファ不足で取りこぼす場合もある。取得長の制限で中身が途中までになることもあるので、アプリのログなどと合わせて判断するんだ。

取得時に-w capture.pcapを指定し、後でtcpdump -n -r capture.pcapで読めるよ。-wは通常の解析表示の代わりにファイルへ書き込む指定なんだ。管理する通信や許可された範囲で取得し、機密情報を含む可能性のあるファイルの保管・共有にも気を付けよう。