Wireshark на сервере без GUI не поставить, а разобраться, что происходит на сети, иногда нужно прямо там. tcpdump закрывает этот разрыв — захват и базовый разбор пакетов одной командой, файл потом можно открыть в Wireshark локально.
tcpdump -i eth0 -n port 443
tcpdump -i any -n host 10.0.0.5 and not port 22
tcpdump -i eth0 -w capture.pcap
-n отключает резолв DNS/портов в имена — без него каждый пакет тормозит на обратном lookup. -w пишет в pcap-файл вместо вывода в терминал — так и захватывать на сервере, а анализировать в Wireshark на своей машине.
-A выводит содержимое пакета как ASCII — полезно для отладки HTTP без TLS, бесполезно для зашифрованного трафика: увидишь только шум.
#linux #networking #tcpdump