Cómo usar tcpdump en Linux para capturar paquetes de red

Qué es tcpdump y por qué es fundamental en Linux

Cuando una aplicación no logra conectarse a una base de dados o cuando el tráfico de red parece inexplicablemente lento, los administradores de sistemas necesitan mirar más allá de las métricas superficiales de uso de CPU y memoria. En la práctica, esto significa abrir el capó del sistema operativo para examinar los datos crudos que viajan por los cables o tarjetas virtuales. tcpdump es la clásica utilidad de línea de comandos en Linux diseñada exactamente para este propósito: intercepta y muestra los paquetes de red que pasan por una interfaz específica, funcionando como un estetoscopio digital para el tráfico de datos.

A diferencia de herramientas visuales complejas, tcpdump se ejecuta en servidores sin interfaz gráfica (headless), lo que lo hace ideal para diagnósticos remotos mediante SSH. Cada paquete de red que llega o sale de la máquina se inspecciona en tiempo real, permitiéndole descubrir si los paquetes están siendo descartados por un firewall o si la aplicación siquiera está enviando la solicitud esperada. Antes de realizar análisis más profundos sobre pérdida de datos utilizando utilidades como mtr, inspeccionar el contenido bruto con tcpdump ofrece evidencia exacta de lo que ocurre en las capas de enlace y transporte.

Cómo listar las interfaces de red disponibles en el sistema

Antes de capturar cualquier dato, el primer paso práctico es descubrir el nombre exacto de la interfaz de red que desea monitorear. En el Linux moderno, los nombres tradicionales como eth0 han dado paso a nomenclaturas predictivas basadas en la ubicación física o controladores de bus, como enp3s0 o wlan0. Para listar todas las interfaces activas e inactivas disponibles en su sistema operativo, utilice el comando ip con el argumento link.

Abra la terminal de su servidor Linux y ejecute el siguiente comando para inspeccionar los adaptadores de red conectados:

ip link show

El resultado mostrará una lista numerada que contiene el estado actual de cada interfaz, indicando si está operativa (UP) o apagada (DOWN). Identifique el nombre de la tarjeta de red que maneja el tráfico que desea investigar, ya que este nombre será obligatorio en los comandos de captura de tcpdump para evitar escuchar en todas las interfaces simultáneamente, lo que generaría un volumen excesivo de datos irrelevantes.

Capturando tráfico básico con comandos esenciales

Con la interfaz de red debidamente identificada, ejecutar tcpdump en su modo más simple requiere privilegios de superusuario, ya que la herramienta accede directamente al modo promiscuo de la tarjeta de red para leer paquetes destinados a otros hosts si es necesario. En la práctica, llamar al comando sin ningún filtro inundará la terminal con miles de líneas de texto que representan cada paquete HTTP, DNS, ARP o SSH que pasa por la tarjeta elegida.

Para iniciar una captura básica en la interfaz predeterminada, escriba el siguiente comando en su terminal de Linux:

sudo tcpdump -i enp3s0

Para interrumpir la ejecución y volver al símbolo del sistema, simplemente presione las teclas Ctrl + C. La utilidad mostrará un resumen estadístico informando cuántos paquetes fueron capturados por la interfaz, cuántos fueron ignorados por el kernel y cuántos sufrieron pérdidas debido a limitaciones de búfer. Esta retroalimentación inmediata ayuda a comprender la intensidad del tráfico al momento de la recolección.

Filtrando paquetes por dirección IP, puerto y protocolo

Dado que el volumen de datos en un servidor de producción suele ser abrumador, leer cada línea de texto impresa en la pantalla se convierte en una tarea humanamente imposible. Aquí es donde entran en juego los filtros basados en la sintaxis BPF (Berkeley Packet Filter), permitiendo limitar la captura solo al tráfico que realmente importa para investigar su problema actual de conectividad.

Puede restringir búsquedas por direcciones IP de origen o destino, puertos de servicio específicos o protocolos como TCP y UDP. Por ejemplo, para monitorear exclusivamente el tráfico destinado o procedente de la dirección IP 192.168.1.50, utilice el siguiente comando:

sudo tcpdump -i enp3s0 host 192.168.1.50

Si su objetivo es aislar solo las solicitudes dirigidas al puerto 443, comúnmente utilizado por conexiones seguras HTTPS, simplemente agregue la restricción de puerto al comando. Combinar operadores lógicos como and, or y not permite crear reglas altamente refinadas para aislar fallas específicas en entornos corporativos o laboratorios domésticos de pruebas.

Guardando capturas en archivos PCAP para análisis posterior

A menudo, diagnosticar un problema en tiempo real bajo la presión de una caída en producción no es la mejor estrategia. Un enfoque mucho más seguro y profesional consiste en grabar el flujo de paquetes en un archivo binario para su posterior análisis exhaustivo, ya sea en su estación de trabajo utilizando una interfaz gráfica o enviando el archivo a otro ingeniero especialista.

Tcpdump le permite guardar todo el tráfico capturado utilizando la bandera -w, escribiendo los datos en un archivo con extensión .pcap. Ejecute el comando a continuación para guardar doscientos paquetes dirigidos al puerto 80 en un archivo llamado trafego.pcap:

sudo tcpdump -i enp3s0 -c 200 -w trafego.pcap port 80

Posteriormente, puede leer el contenido de este archivo binario directamente en la terminal utilizando la bandera -r de tcpdump. Esta técnica preserva los bits exactos transmitidos a través de la red, asegurando que no se pierda ningún detalle de cabecera durante la investigación del incidente técnico. Para complementar esta implementación en entornos de producción, consulte también nuestros análisis técnicos sobre Cómo probar el circuito de power good con multímetro y Cómo probar transistores MOSFET SMD en la placa con multímetro.

Consideraciones finales sobre el diagnóstico de redes

Dominar tcpdump transforma la forma en que percibe el comportamiento de los sistemas y aplicaciones en red, eliminando conjeturas durante la resolución de problemas complejos. Al combinar la captura precisa de paquetes mediante la línea de comandos con una sólida comprensión de los protocolos de transporte, los administradores obtienen autonomía total para validar reglas de firewall, depurar conexiones caídas y certificar la integridad de los flujos de datos en servidores Linux. Integrar esta rutina de inspección en su flujo de trabajo operativo diario eleva drásticamente su resistencia técnica y capacidad de respuesta ante cualquier tiempo de inactividad.