tcpdumpコマンドでパケットをキャプチャ・解析する方法｜フィルタ指定・ファイル保存・実務活用も

この記事のポイント

・tcpdump -i eth0 で指定インターフェースのパケットをキャプチャできる
・host/port/proto フィルタを組み合わせて必要な通信だけに絞り込める
・-w でファイル保存し、Wiresharkに渡して詳細分析できる
・実務では「-n -s0」を付けるのが鉄則。DNS逆引きの遅延と断片化を防ぐ

# インストール確認
$ which tcpdump
/usr/sbin/tcpdump

$ tcpdump --version
tcpdump version 4.99.3
libpcap version 1.10.3 (with TPACKET_V3)
OpenSSL 3.1.1 30 May 2023

# RHEL / Rocky Linux / AlmaLinux
$ sudo dnf install -y tcpdump

# Ubuntu / Debian
$ sudo apt install -y tcpdump

# eth0インターフェースのパケットをキャプチャ
$ sudo tcpdump -i eth0

# すべてのインターフェースをキャプチャ
$ sudo tcpdump -i any

# 利用可能なインターフェース一覧を表示
$ sudo tcpdump -D
1.eth0 [Up, Running, Connected]
2.lo [Up, Running, Loopback]
3.any (Pseudo-device that captures on all interfaces) [Up, Running]
4.bluetooth-monitor (Bluetooth Linux Monitor) [none]
5.nflog (Linux netfilter log (NFLOG) interface) [none]

# 推奨: 必ず -n -s0 を付ける
$ sudo tcpdump -i eth0 -n -s0

# 特定ホストとの通信のみ
$ sudo tcpdump -i eth0 -n host 192.168.1.100

# 送信元を指定
$ sudo tcpdump -i eth0 -n src 192.168.1.100

# 送信先を指定
$ sudo tcpdump -i eth0 -n dst 192.168.1.200

# ポート80（HTTP）のみ
$ sudo tcpdump -i eth0 -n port 80

# ポート範囲指定
$ sudo tcpdump -i eth0 -n portrange 8000-8080

# 送信先ポートを指定
$ sudo tcpdump -i eth0 -n dst port 443

# TCPのみ
$ sudo tcpdump -i eth0 -n tcp

# UDPのみ（DNSの確認など）
$ sudo tcpdump -i eth0 -n udp

# ICMPのみ（pingパケット）
$ sudo tcpdump -i eth0 -n icmp

# 192.168.1.100 との tcp 443番ポートの通信
$ sudo tcpdump -i eth0 -n tcp and host 192.168.1.100 and port 443

# SSH（22番）以外のすべての通信
$ sudo tcpdump -i eth0 -n not port 22

# 特定ホストへのUDPまたはICMP
$ sudo tcpdump -i eth0 -n host 8.8.8.8 and \( udp or icmp \)

$ sudo tcpdump -i eth0 -n port 80
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
15:23:11.482310 IP 192.168.1.102.54321 > 192.168.1.10.80: Flags [S], seq 3001234567, win 64240, options [mss 1460,sackOK,TS val 1234567 ecr 0,nop,wscale 7], length 0
15:23:11.482405 IP 192.168.1.10.80 > 192.168.1.102.54321: Flags [S.], seq 987654321, ack 3001234568, win 65535, options [mss 1460,sackOK,TS val 9876543 ecr 1234567,nop,wscale 7], length 0
15:23:11.482521 IP 192.168.1.102.54321 > 192.168.1.10.80: Flags [.], ack 987654322, win 502, length 0

# より詳細な情報を表示
$ sudo tcpdump -i eth0 -n -v port 53

# DNS応答内容まで表示
$ sudo tcpdump -i eth0 -n -vv port 53

# パケット内容をASCIIで表示
$ sudo tcpdump -i eth0 -n -A port 80

# 例: 実際の出力（HTTP GETリクエストの場合）
15:30:22.112345 IP 192.168.1.102.55123 > 192.168.1.10.80: Flags [P.], ...
..GET /index.html HTTP/1.1
Host: www.example.com
User-Agent: curl/7.81.0
Accept: */*

# ファイルに保存（キャプチャはCtrl+Cで停止）
$ sudo tcpdump -i eth0 -n -s0 -w /tmp/capture_$(date +%Y%m%d_%H%M%S).pcap

# 特定条件でフィルタしながら保存
$ sudo tcpdump -i eth0 -n -s0 -w /tmp/http_capture.pcap port 80

# 保存完了後の確認
$ ls -lh /tmp/http_capture.pcap
-rw-r--r--. 1 root root 2.3M Apr 13 15:45 /tmp/http_capture.pcap

# 保存済みファイルを読み込んで表示
$ sudo tcpdump -r /tmp/http_capture.pcap -n

# フィルタを使って必要なパケットだけ抽出
$ sudo tcpdump -r /tmp/http_capture.pcap -n port 80

# 行数を制限して確認
$ sudo tcpdump -r /tmp/http_capture.pcap -n -c 50

# サーバーへのHTTPS接続のハンドシェイクを確認
$ sudo tcpdump -i eth0 -n tcp and host 203.0.113.10 and port 443

# SYN が送られていない場合: クライアント側の問題（ルーティング・firewalld）
# SYN は届いているが SYN-ACK が返らない場合: サーバー側のfirewalldかサービスが停止している可能性
# SYN-ACK の後に RST が来る場合: 接続を拒否されている（ACLや接続数制限など）

# DNSクエリとレスポンスを確認
$ sudo tcpdump -i eth0 -n -vv port 53

# 実際の出力例（www.example.comへのAレコード問い合わせ）
15:40:55.234567 IP 192.168.1.102.45678 > 192.168.1.1.53: 12345+ A? www.example.com. (33)
15:40:55.235890 IP 192.168.1.1.53 > 192.168.1.102.45678: 12345 1/0/0 A 93.184.216.34 (49)

# 100パケット取得したら自動停止
$ sudo tcpdump -i eth0 -n -c 100 -w /tmp/sample.pcap

# 30秒間だけキャプチャ（timeout コマンドと組み合わせ）
$ sudo timeout 30 tcpdump -i eth0 -n -s0 -w /tmp/capture_30sec.pcap