Volver a herramientas
¿Qué es Tcpdump?
Tcpdump es una herramienta de línea de comandos para capturar y analizar paquetes de red en tiempo real. Es esencial para el diagnóstico de redes y auditoría de seguridad.
- -i: Especifica la interfaz de red (any, eth0, wlan0)
- -v, -vv, -vvv: Aumenta la verbosidad
- -c: Número de paquetes a capturar
- -w: Guardar captura en archivo .pcap
- -s: Snap length (bytes a capturar por paquete)
- Filtros: host, port, tcp, udp, icmp, tcp-flags
Preguntas frecuentes
¿Qué es tcpdump y para qué sirve?
Tcpdump es una herramienta de línea de comandos para capturar y analizar paquetes de red en tiempo real. Es esencial para diagnosticar problemas de conectividad, auditar tráfico sospechoso, depurar protocolos de red y analizar rendimiento. Funciona en la mayoría de sistemas Unix/Linux y captura tráfico directamente desde la interfaz de red.
¿Cómo capturar tráfico de red con tcpdump?
Usa tcpdump -i eth0 para capturar todo el tráfico en una interfaz. Para capturas más específicas añade filtros: tcpdump -i eth0 host 192.168.1.1 captura tráfico hacia o desde esa IP; tcpdump -i eth0 port 80 captura tráfico HTTP; tcpdump -i eth0 icmp captura solo pings. La herramienta genera estos comandos automáticamente según tus filtros.
¿Cuáles son los filtros más comunes en tcpdump?
Los filtros más usados incluyen: host (IP específica), port (puerto TCP/UDP), tcp/udp/icmp (protocolo), src/srcnet (origen), dst/dstnet (destino), y combinaciones con and/or/not. Ejemplos: host 10.0.0.1 and port 443 captura tráfico HTTPS hacia un servidor; not arp excluye tráfico ARP para reducir ruido.
¿Cómo guardar una captura de tcpdump a un archivo?
Usa la opción -w seguida del nombre de archivo: tcpdump -i eth0 -w captura.pcap. Esto guarda la captura en formato binario .pcap legible por Wireshark. Para leerla después usa tcpdump -r captura.pcap. Combínalo con -c N para limitar el número de paquetes: tcpdump -i eth0 -c 1000 -w captura.pcap guarda solo 1000 paquetes.