Захват только TCP SYN-пакетов tcpdump
Ловит только инициирующие SYN (без SYN-ACK) — для поиска сканов или переполнения backlog
tcpdump -nn 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn'
more tcpdump
all 18 commands →
Захват флагов SYN и FIN
tcpdump -nn 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0'
Фильтр по хосту без SSH-шума
tcpdump -nn -i any host <ip> and not port 22
Полный дамп payload в hex и ascii
tcpdump -nn -s 0 -X -i any port <port>
Кольцевой захват по размеру файла
tcpdump -nn -i any -s 0 -C 100 -W 5 -w /tmp/cap.pcap
Захват с ротацией по времени
tcpdump -nn -i any -G 3600 -w '/tmp/cap-%Y%m%d-%H%M%S.pcap'