■ はじめに

 * ネットワークのキャプチャをとる
  => 思ってたより、構築も使い方も簡単だった。

■ 環境構築

 * OS : CentOS7

インストール

# インストール
sudo yum install tcpdump

# バージョン確認
tcpdump --help

■ 使い方

# w : 出力ファイル名
sudo tcpdump host 127.0.0.1 -w dump.pcap

# ssh以外をキャプチャリング（not port 22）
sudo tcpdump -w dump.pcap not port 22

 => 出力ファイルを、Wireshark（以下の関連記事を参照）で開き、ダンプファイルを調査する

使用上の注意

 * root権限で実行する
 * 出力ファイルの拡張子は「.pcap」にしといたほうがいい（Wiresharkで開くために）

トラブル

 * tcpdumpコマンドを実行したところ、以下の「エラー内容」が表示され
   キャプチャが開始されない

tcpdump: WARNING: SIOCGIFADDR: nflog: No such device
tcpdump: NFLOG link-layer type filtering not implemented

より

[1] 「ip addr」を実行する
～～～～
1: enoxxxxxxxx: <BROADCAST,MULTICAST,UP,LOWER_UP> ... << 「enoxxxxxxxx」をメモっとく
 ...
～～～～

[2] 「sudo tcpump -D」を実行する
～～～～
1.nflog ...
2.nfqueue ...
3.enoxxxxxxxx ... << 「enoxxxxxxxx」の番号「3」をメモっとく
 ...
～～～～

[3] 「-iオプション」で、手順[2]の番号を指定する（キャプチャ開始されるはず）
～～～～
$ sudo tcpdump -i 3 host 127.0.0.1 -w dump.pcap
tcpdump: listening on enoxxxxxxxx, link-type EN10MB (Ethernet), capture size 65535 bytes
～～～～

参考文献

関連記事

Wireshark ～パケットキャプチャ～