Grâce à la commande Linux tcpdump, vous pouvez analyser les paquets ayant été expédiés au sein de votre réseau. De nombreux filtres et options per­met­tent d’optimiser cette analyse.

Qu’est-ce que Linux tcpdump ?

Pour l’analyse de votre trafic réseau sous Linux et la ré­so­lu­tion éven­tuelle de problèmes de réseau, tcpdump est un outil par­ti­cu­liè­re­ment précieux. Le programme de ligne de commande est préins­tallé sur presque toutes les dis­tri­bu­tions Linux courantes, comme Debian ou Ubuntu, et re­trans­met des in­for­ma­tions à propos des paquets de données ayant été envoyés ou reçus sur votre réseau. Malgré son nom, Linux tcpdump n’est pas uni­que­ment conçue pour les paquets TCP, mais peut également analyser les paquets UDP et ICMP. Vous devez disposer des droits d’ad­mi­nis­tra­teur pour utiliser la commande.

Comment fonc­tionne la commande tcpdump ?

L’analyse exécutée par tcpdump est également appelée « sniffing ». Grâce à la commande tcpdump, vous indiquez l’interface du réseau que le programme doit contrôler. De plus, de nombreux filtres per­met­tent d’adapter et d’optimiser le processus. La commande est exécutée dans la ligne de commande où sont ensuite également indiqués les résultats cor­res­pon­dants de l’analyse.

Quelle est la syntaxe de la commande tcpdump ?

La syntaxe de Linux tcpdump est très simple et se présente de la manière suivante :

$ tcpdump [Options] [Filtre]
bash

Bien qu’il ne soit pas obli­ga­toire d’indiquer des options pour s’assurer que la commande tcpdump prend en con­si­dé­ra­tion la bonne interface réseau, cela est toutefois re­com­mandé. Les filtres sont également fa­cul­ta­tifs. Néanmoins, si aucun filtre n’est mentionné, Linux tcpdump analyse tous les paquets de tous les hôtes; ce qui peut ra­pi­de­ment devenir confus.

Quels sont les options et filtres de la commande tcpdump ?

tcpdump possède de nombreux filtres et options. Voici les prin­ci­pales options :

  • -A : cette option permet de présenter le contenu d’un paquet en code ASCII.
  • -c [Nombre] : tcpdump est au­to­ma­ti­que­ment arrêtée lorsqu’un nombre défini de paquets a été analysé.
  • -D : avec cette option, toutes les in­ter­faces dis­po­nibles sont ré­per­to­riées.
  • -i [Interface] : avec cette option, vous dé­ter­mi­nez quelle interface doit être en­re­gis­trée.
  • -s [Nombre] : cette option détermine combien d’octets par paquet doivent être en­re­gis­trés.

Ces filtres peuvent être utilisés pour tcpdump :

  • dst : seuls sont analysés les paquets dont la cible affiche la valeur pré­dé­fi­nie. Il peut s’agir des valeurs suivantes : host, net, port ou portrange.
  • host : ce filtre veille à ce que seuls soient pris en con­si­dé­ra­tion les paquets qui pré­sen­tent une adresse IP spé­ci­fique ou un nom d’hôte spé­ci­fique comme source ou cible.
  • net : ce filtre tient uni­que­ment compte des paquets qui pré­sen­tent une adresse IP d’un domaine réseau spé­ci­fique comme source ou cible.
  • port : ce filtre vous permet d’indiquer un port spé­ci­fique entre 0 et 65535 qui doit être ex­clu­si­ve­ment analysé.
  • portrange : ce filtre contient une plage de ports entre 0 et 65535 qui doit être ex­clu­si­ve­ment analysée.
  • proto : ce filtre tient uni­que­ment compte des paquets ayant un protocole réseau spé­ci­fique. Le filtre peut afficher les valeurs suivantes : arp, decnet, ether, fddi, ip, ip6, rarp, tcp, udp ou wlan.
  • src : avec ce filtre, seuls sont analysés les paquets dont la source indique une valeur spé­ci­fique. Il peut s’agir de host, net, port ou portrange.

Exemples d’uti­li­sa­tion de la commande tcpdump

Pour finir, nous vous ex­pli­quons de manière plus détaillée comment vous pouvez utiliser tcpdump. Dans nos exemples, nous utilisons la commande sudo sous Linux.

$ sudo tcpdump -D
bash

Vous vérifiez tout d’abord quelles in­ter­faces réseau existent.

$ sudo tcpdump -i wlx14a3c782966b
bash

Ici, vous analysez uni­que­ment l’interface dont le nom est indiqué.

$ sudo tcpdump -c 5 -i wlx14a3c782966b
bash

Avec cette commande tcpdump, vous ordonnez que seuls cinq paquets soient en­re­gis­trés.

Aller au menu principal