TCPdump

[reference doc/site] 

- http://sbpaek.tistory.com/entry/Pumpkin-TCPDUMP-%EC%82%AC%EC%9A%A9%EB%B2%95

47.TCPdump사용법.pdf

1. TCPdump 명령어 옵션 확인

1) -n 스위치

- tcpdump 가 IP 주소를 도메인명으로 포트번호를 서비스 명으로 변환하지 않도록 함

2) -i <interface name> 스위치

- tcpdump 가 어떤 네트워크 인터페이스에서 네트워크 트레이스를 수집할 것인가를 명시함

- 일반적으로 리눅스에서는 이더넷 드라이버로 eth0 을 사용함

3) -s <snaplen> 스위치

- tcpdump 가 수집하는 패킷의 길이를 표시

- VLAN 을 사용하지 않는 이더넷의 경우 1,515로 지정하면 모든 패킷을 수집할 수 있음

- 최신 버전의 tcpdump 는 '0' 이 패킷 길이로 지정된 경우 패킷 전체를 수집하라는 것으로 인식

- 이 옵션을 주지 않으면 ip, port 만 나오고 전체 패킷이 안 나온다.

2. ARP 정보 추출

3. ICMP 정보 추출

4. MAC + ICMP 정보 추출

5. IP 대역별 정보 추출

6. 소스 및 목적지 대역별 정보 추출

7. Syn 과 Syn-ack 정보 추출

8. Reset/Push/Fin 정보 추출

9. UDP 정보 추출

10. VRRP 패킷 정보 추출

11. Multicast 정보 추출

12. Broadcast 정보 추출