Como rastrear pacotes perdidos na rede com tcpdump

Por que falhas intermitentes desafiam administradores de rede

Quando uma aplicação em um servidor Linux perde conexão de forma esporádica, o problema costuma parecer um fantasma. Reiniciar o serviço resolve por alguns minutos, mas a falha retorna sem aviso prévio. Em ambientes de produção, onde milhares de pacotes trafegam a cada segundo, depender de palpites é o caminho mais rápido para o estresse. É exatamente nesse cenário que entra o tcpdump, uma ferramenta clássica de linha de comando capaz de escutar tudo o que passa pela placa de rede.

Antes de mergulhar nos comandos complexos, vale lembrar que já discutimos fundamentos iniciais de captura no artigo sobre como usar o tcpdump no Linux para capturar pacotes de rede. No entanto, quando o desafio é isolar problemas que acontecem apenas uma vez por dia, capturar todo o tráfego gera arquivos gigantescos impossíveis de analisar manualmente. O segredo da engenharia de redes moderna não é gravar tudo, mas usar filtros cirúrgicos para pescar apenas o erro no oceano de dados.

Dominando a sintaxe de filtros BPF no servidor Linux

O grande poder do tcpdump reside no suporte aos filtros BPF (Berkeley Packet Filter), uma linguagem embutida que diz ao kernel do Linux quais pacotes devem ser gravados na memória e quais devem ser ignorados. Na prática, isso significa que você economiza processamento e evita gravar gigabytes de tráfego inútil. Para isolar pacotes perdidos, precisamos combinar critérios lógicos como endereços IP, portas específicas e estados de conexão.

Imagine que sua aplicação web perde conexões intermitentemente com um banco de dados remoto na porta 5432. Para monitorar apenas esse canal sem poluir a tela com tráfego SSH ou requisições HTTP comuns, você constrói um filtro direcionado. Na prática, o comando abaixo escuta a interface principal e filtra apenas o tráfego destinado àquela porta específica:

tcpdump -i eth0 -nn -vv 'port 5432'

Nesse comando, a flag -nn impede que o programa perca tempo tentando traduzir endereços IP em nomes de domínio, o que poderia mascarar lentidões reais na rede. Já a flag -vv aumenta o nível de detalhes exibidos, permitindo inspecionar campos avançados do cabeçalho IP e TCP diretamente no terminal do servidor Linux.

Identificando quedas de conexão através de flags TCP

A perda de pacotes nem sempre ocorre porque o cabo foi desconectado ou o roteador falhou. Muitas vezes, conexões são encerradas de forma abrupta por timeouts de firewall, estouro de buffer ou instabilidades na rota. Para enxergar essas anomalias, precisamos olhar para as flags TCP, que funcionam como pequenos sinais de trânsito trocados entre as máquinas para abrir, manter e fechar conversas digitais.

Quando uma conexão é rejeitada de forma violenta, o sistema operacional envia um pacote com a flag RST (Reset) ativada. Se você quer rastrear exatamente o momento em que isso acontece, pode filtrar o tcpdump para exibir apenas pacotes que contenham essa marcação específica. Veja como estruturar esse filtro avançado diretamente na linha de comando:

tcpdump -i eth0 'tcp[tcpflags] & (tcp-rst) != 0'

Essa consulta matemática examina o byte de flags do cabeçalho TCP e isola qualquer evento de encerramento forçado. Se esses pacotes aparecem com frequência durante os horários de pico, você tem a prova matemática de que o problema não é a aplicação em si, mas sim um componente intermediário da infraestrutura derrubando os sockets ativos.

Isolando retransmissões excessivas e latência oculta

Outro sintoma clássico de rede degradada é a alta taxa de retransmissão de pacotes. Quando um pacote se perde no caminho, o remetente espera um tempo limite (timeout) e envia o mesmo dado novamente. Embora a aplicação final consiga recuperar a informação, o custo em termos de latência e consumo de CPU é gigantesco. Isolar esse comportamento exige capturar o tráfego e buscar padrões repetitivos.

Para monitorar pacotes duplicados ou atrasados, podemos combinar filtros de host com análises de sequência. Se você suspeita de um servidor específico, digamos 192.168.1.50, a instrução a seguir restringe a captura estritamente a ele, permitindo salvar o resultado em um arquivo binário para análise posterior com ferramentas gráficas:

tcpdump -i eth0 -w perdas.pcap host 192.168.1.50 and not port 22

Note o uso do operador lógico 'not port 22'. Ele é fundamental para excluir a sua própria sessão SSH de administração, garantindo que o arquivo pcap contenha apenas os dados úteis da aplicação sob investigação. Essa limitação evita ruídos e torna o diagnóstico muito mais rápido e preciso.

Boas práticas para gravação contínua em servidores de produção

Rodar o tcpdump em servidores de produção exige cautela extrema. Se o tráfego for muito intenso e o disco rígido lento, o próprio processo de gravação pode esgotar os recursos do sistema e derrubar a aplicação. Por isso, profissionais experientes utilizam limites de tamanho e rotação de arquivos para capturar eventos intermitentes sem derrubar o ambiente.

Uma técnica muito útil consiste em limitar o número de pacotes capturados ou dividir a gravação em blocos temporais. O comando a seguir grava pacotes em lotes de 100 megabytes, mantendo apenas os arquivos mais recentes no disco:

tcpdump -i eth0 -C 100 -W 5 -w /tmp/captura_rede.pcap 'tcp[tcpflags] & (tcp-syn) != 0'

Essa abordagem garante que, se o problema acontecer durante a madrugada, você terá o registro exato salvo no disco sem o risco de encher a partição raiz do servidor com gigabytes de dados desnecessários. Para complementar essa implementação em produção, vale conferir também nossas análises técnicas sobre Como testar a tensão do chip BIOS com multímetro na placa e Como recuperar tabelas de partições GPT corrompidas com gdisk.

Considerações finais

Rastrear pacotes perdidos em redes Linux deixa de ser um mistério quando combinamos filtros BPF precisos, análise de flags TCP e boas práticas de gravação em servidores de produção. O tcpdump continua sendo uma das ferramentas mais poderosas e eficientes do ecossistema de código aberto para desvendar o comportamento real dos dados em trânsito. Dominar essa técnica garante diagnósticos rápidos e precisos, transformando frustrações intermitentes em resoluções técnicas definitivas.