Guía Completa para Capturar y Analizar Tráfico IP con tcpdump: Domina la Herramienta Esencial para Administradores de Sistemas

Posted on by oscar Lastera Sanchez

Capturar tráfico IP es una tarea esencial para los administradores de sistemas, ya sea para depuración, monitoreo o resolución de problemas. En esta guía, aprenderás a utilizar tcpdump, una herramienta poderosa y ampliamente utilizada para capturar y analizar paquetes de red. A través de ejemplos prácticos y comandos útiles, veremos cómo capturar y analizar tráfico IP, ICMP, ARP, tráfico multicast y más.

Introducción a tcpdump

tcpdump es una herramienta de línea de comandos que permite a los administradores capturar y analizar paquetes de red en tiempo real. Se utiliza para inspeccionar el tráfico de red en interfaces específicas, lo que puede ser útil para identificar problemas de conectividad, latencia, o posibles ataques.

El comando básico para capturar tráfico en una interfaz de red con tcpdump es:

tcpdump -i <interface> -w <output file>
  • -i : Especifica la interfaz de red donde se capturará el tráfico (ej. eth0, lo, any).
  • -w : Guarda el tráfico capturado en un archivo para su análisis posterior.

Por ejemplo, para capturar tráfico en la interfaz eth0 y guardarlo en el archivo captura.pcap, el comando sería:

tcpdump -i eth0 -w captura.pcap

Ajuste del Tamaño de Captura

Por defecto, tcpdump captura hasta 65535 bytes de cada paquete. Sin embargo, puedes ajustar el tamaño de los paquetes capturados usando la opción -s.

  • -s1500: Captura hasta 1500 bytes de cada paquete.
  • -s0: Captura el paquete completo (máximo disponible).
tcpdump -i eth0 -s1500 -w captura.pcap

El comando anterior capturará hasta 1500 bytes por paquete en la interfaz eth0. Si deseas capturar todo el contenido del paquete, usa -s0.

tcpdump -i eth0 -s0 -w captura_completa.pcap

Resolución de DNS y Nombres de Puerto

Cuando analizamos tráfico de red, puede ser útil deshabilitar la resolución de DNS y nombres de puerto para que tcpdump muestre las direcciones IP y números de puerto directamente, sin intentar resolverlos. Para lograr esto, se utilizan las opciones -n y -nn:

  • -n: No resuelve nombres de host DNS.
  • -nn: No resuelve nombres de host ni nombres de puerto.

Por ejemplo:

tcpdump -nn -i eth0 -w captura_sin_dns.pcap

Este comando capturará tráfico en eth0, pero sin resolver nombres DNS ni de puerto, lo que puede ser útil para análisis más rápidos y precisos.

Ejemplos de Uso

Capturar Tráfico en Todos los Puertos

El siguiente comando captura todo el tráfico que pasa por la interfaz any (todas las interfaces disponibles en el sistema) y lo guarda en un archivo:

tcpdump -i any -s0 -w captura_general.pcap

Capturar Tráfico en un Puerto Específico

Si necesitas capturar tráfico destinado a un puerto específico, por ejemplo el puerto 8080, puedes usar el siguiente comando:

tcpdump -ni any port 8080

El uso de -ni any captura el tráfico en todas las interfaces y desactiva la resolución de DNS, mientras que port 8080 filtra solo el tráfico dirigido a ese puerto.

Capturar un Rango de Puertos

Puedes capturar tráfico en un rango de puertos utilizando la opción portrange. Por ejemplo, para capturar el tráfico en los puertos entre el 5060 y 5090, se utilizaría el siguiente comando:

tcpdump -ni eth0 -s0 -n portrange 5060-5090 -w /tmp/call.pcap

Esto captura todo el tráfico en esos puertos y lo guarda en el archivo /tmp/call.pcap.

Capturar Tráfico ICMP y ARP

El tráfico ICMP (usado en ping) y ARP (Protocolo de Resolución de Direcciones) es muy común en redes y puede capturarse con el siguiente comando:

tcpdump -ni any "icmp or arp"

Este comando capturará todo el tráfico ICMP y ARP en cualquier interfaz. Aquí un ejemplo de una salida:

12:49:02.800625 ethertype ARP, ARP, Request who-has 172.22.123.193 (Broadcast) tell 172.22.123.208, length 46

Capturar Tráfico Broadcast

El tráfico broadcast, como las solicitudes ARP o mensajes DHCP DISCOVER, puede capturarse fácilmente con el siguiente comando:

tcpdump -ni any broadcast

Capturar Tráfico IPv6

Para capturar tráfico relacionado con el Protocolo de Vecino (NDP) de IPv6, que es el equivalente a ARP en IPv6, puedes utilizar el siguiente comando:

tcpdump -ni any icmp6

Mostrar Tráfico con Encabezado de Capa de Enlace

Si necesitas mostrar las cabeceras de la capa de enlace, como la dirección MAC, junto con la carga útil del paquete, puedes usar las opciones -e y -xx:

tcpdump -ennxxv -i eth0
  • -e: Muestra el encabezado de la capa de enlace.
  • -nn: No resuelve nombres de DNS ni puertos.
  • -xx: Muestra el contenido hexadecimal de los paquetes.
  • -v: Verbose output (salida detallada).

Este comando te dará una visión mucho más detallada de cada paquete.

Lectura y Análisis de Archivos tcpdump

Una vez que has capturado el tráfico, puedes analizarlo usando tcpdump. Para leer un archivo pcap generado por tcpdump, puedes usar el siguiente comando:

tcpdump -nnr <archivo.pcap>

Por ejemplo, si deseas leer el archivo captura_general.pcap sin resolución de DNS o puertos:

tcpdump -nnr captura_general.pcap

Otras Herramientas de Análisis

Aunque tcpdump es muy útil para capturar tráfico, a veces es más fácil analizar grandes cantidades de tráfico con herramientas como Wireshark. Puedes abrir cualquier archivo pcap capturado con tcpdump en Wireshark para un análisis más gráfico y detallado.

Consejos y Buenas Prácticas

  1. Filtros específicos: Asegúrate de utilizar filtros para capturar solo el tráfico que necesitas. Capturar tráfico sin filtrar puede generar archivos de gran tamaño difíciles de analizar.
  2. Uso de recursos: Las capturas grandes y prolongadas pueden afectar el rendimiento del sistema. Si es posible, realiza capturas en ventanas de tiempo limitadas y guarda los resultados para analizarlos posteriormente.
  3. Revisión de logs: Además de capturar tráfico, revisa los logs de red y del sistema para correlacionar eventos y obtener una visión más completa del problema que estás investigando.
  4. Seguridad: Al capturar tráfico de red, recuerda que puedes estar obteniendo información sensible. Asegúrate de guardar los archivos capturados en un lugar seguro y de eliminar cualquier dato una vez que no lo necesites.

Conclusión

tcpdump es una herramienta fundamental para cualquier administrador de sistemas que necesite capturar y analizar tráfico de red. Con el conocimiento adecuado de sus opciones y filtros, puedes capturar exactamente el tráfico que necesitas, facilitando la solución de problemas de red y la detección de comportamientos anómalos.