Como usar o tcpdump no Linux para capturar pacotes de rede

O que é o tcpdump e por que ele é indispensável no Linux

Quando uma aplicação falha ao se conectar a um banco de dados ou quando o tráfego de rede parece inexplicavelmente lento, administradores de sistemas precisam olhar além das métricas superficiais de uso de CPU e memória. Na prática, isso significa abrir o capô do sistema operacional para examinar os dados brutos que trafegam pelos cabos ou pelas placas virtuais. O tcpdump é o utilitário de linha de comando clássico no Linux projetado exatamente para essa finalidade: ele intercepta e exibe os pacotes de rede que passam por uma interface específica, funcionando como um estetoscópio digital para o tráfego de dados.

Diferente de ferramentas visuais complexas, o tcpdump roda em servidores sem interface gráfica (headless), o que o torna ideal para diagnósticos remotos via SSH. Cada pacote de rede que chega ou sai da máquina é examinado em tempo real, permitindo que você descubra se pacotes estão sendo descartados por um firewall ou se a aplicação sequer está enviando a requisição esperada. Antes de realizar análises mais profundas sobre perda de dados utilizando utilitários como o mtr, inspecionar o conteúdo bruto com o tcpdump oferece a evidência exata do que está acontecendo na camada de enlace e transporte.

Como listar as interfaces de rede disponíveis no sistema

Antes de começar a capturar qualquer dado, o primeiro passo prático é descobrir o nome exato da interface de rede que você deseja monitorar. No Linux moderno, nomes tradicionais como eth0 deram lugar a nomenclaturas preditivas baseadas na localização física ou no barramento da placa, como enp3s0 ou wlan0. Para listar todas as interfaces ativas e inativas disponíveis no seu sistema operacional, utilize o comando ip com o argumento link.

Abra o terminal do seu servidor Linux e execute o seguinte comando para inspecionar os adaptadores de rede conectados:

ip link show

O resultado exibirá uma lista numerada contendo o estado atual de cada interface, indicando se ela está operacional (UP) ou desligada (DOWN). Identifique o nome da placa de rede que lida com o tráfego que você deseja investigar, pois esse nome será obrigatório nos comandos de captura do tcpdump para evitar a escuta em todas as interfaces simultaneamente, o que geraria um volume excessivo de dados irrelevantes.

Capturando o tráfego básico com comandos essenciais

Com a interface de rede devidamente identificada, executar o tcpdump em seu modo mais simples exige privilégios de superusuário, já que a ferramenta acessa diretamente o modo promíscuo da placa de rede para ler pacotes destinados a outros hosts caso necessário. Na prática, chamar o comando sem nenhum filtro fará com que o terminal seja inundado por milhares de linhas de texto representando cada pacote HTTP, DNS, ARP ou SSH que passa pela placa escolhida.

Para iniciar uma captura básica na interface padrão, digite o comando abaixo no terminal do Linux:

sudo tcpdump -i enp3s0

Para interromper a execução e retornar ao prompt de comando, basta pressionar as teclas Ctrl + C. O utilitário exibirá um resumo estatístico informando quantos pacotes foram capturados pela interface, quantos foram ignorados pelo kernel e quantos sofreram quedas devido a limitações de buffer. Esse feedback imediato ajuda a entender a intensidade do tráfego no momento da coleta.

Filtrando pacotes por endereço IP, porta e protocolo

Como o volume de dados em um servidor de produção costuma ser avassalador, ler cada linha de texto impressa na tela torna-se uma tarefa humanamente impossível. É aqui que entra o poder dos filtros baseados na sintaxe de BPF (Berkeley Packet Filter), permitindo que você limite a captura apenas ao tráfego que realmente importa para a investigação do problema de conectividade atual.

Você pode restringir a busca por endereços IP de origem ou destino, portas específicas de serviços ou protocolos como TCP e UDP. Por exemplo, para monitorar exclusivamente o tráfego destinado ou originado do endereço IP 192.168.1.50, utilize o seguinte comando:

sudo tcpdump -i enp3s0 host 192.168.1.50

Caso o seu objetivo seja isolar apenas as requisições direcionadas à porta 443, comumente utilizada por conexões seguras HTTPS, basta adicionar a restrição de porta ao comando. Combinar operadores lógicos como and, or e not permite criar regras altamente refinadas para isolar falhas específicas em ambientes corporativos ou mesmo em laboratórios de testes residenciais.

Salvando capturas em arquivos PCAP para análise posterior

Muitas vezes, diagnosticar um problema em tempo real sob a pressão de uma pane em produção não é a melhor estratégia. Uma abordagem muito mais segura e profissional consiste em gravar o fluxo de pacotes em um arquivo binário para posterior análise minuciosa, seja na sua estação de trabalho utilizando uma interface gráfica ou enviando o arquivo para outro engenheiro especialista.

O tcpdump permite salvar todo o tráfego capturado utilizando a flag -w, gravando os dados em um arquivo com extensão .pcap. Execute o comando abaixo para salvar duzentos pacotes direcionados à porta 80 em um arquivo chamado trafego.pcap:

sudo tcpdump -i enp3s0 -c 200 -w trafego.pcap port 80

Posteriormente, você poderá ler o conteúdo desse arquivo binário diretamente no terminal utilizando a flag -r do próprio tcpdump. Essa técnica preserva os bits exatos transmitidos pela rede, garantindo que nenhum detalhe do cabeçalho seja perdido durante a investigação do incidente técnico. Para complementar essa implementação em produção, vale conferir também nossas análises técnicas sobre Como testar o circuito de power good com multímetro e Como testar transistor MOSFET SMD na placa com multímetro.

Considerações finais sobre o diagnóstico de redes

Dominar o uso do tcpdump transforma a maneira como você enxerga o comportamento dos sistemas e das aplicações em rede, eliminando adivinhações durante a solução de problemas complexos. Ao combinar a captura precisa de pacotes via linha de comando com uma compreensão sólida dos protocolos de transporte, administradores ganham autonomia total para validar regras de firewall, debugar conexões perdidas e certificar a integridade dos fluxos de dados em servidores Linux. Integrar essa rotina de inspeção ao seu dia a dia operacional eleva drasticamente a resiliência e a capacidade de resposta técnica diante de qualquer indisponibilidade.