tcpdump: первые шаги для тех, кто боится

Половина вопросов в этом разделе упирается в одно: человек не видит провод и гадает на кофейной гуще. А там четыре ключа, остальное по вкусу.

Запускать так:

sudo tcpdump -i any -nn -c 20 port 1080

Расшифровка по буквам. Ключ -i any слушает все интерфейсы разом, удобно, пока не знаешь, через какой пойдёт. Две буквы n запрещают превращать адреса и порты в имена, иначе tcpdump сам полезет к службе имён и нашумит в вашем же дампе. Ключ -c 20 останавливает после двадцати кадров, чтобы экран не улетел в бесконечность. Хвост строки это фильтр, тут он читается по-человечески.

Фильтры складываются словами and, or, not: host 10.0.0.5 and port 1080, not port 22. Последнее обязательно, когда работаете по ssh, иначе увидите собственный сеанс и ничего больше.

Кому что ещё непонятно, спрашивайте, добью в этой же теме.

у меня пишет permission denied, sudo не хочу давать всем подряд

Права выдаются точечно, sudo для этого не нужен. Ставим программе две способности, и она читает провод от обычного пользователя.

sudo setcap cap_net_raw,cap_net_admin=eip $(which tcpdump)

После этого дамп снимает кто угодно из вашей группы. На арендованном сервере так же.

а что означают буквы в квадратных скобках, S точка P

Буквы это флаги TCP, по ним читается вся жизнь соединения. Разберу строку целиком, дальше пойдёт само.

Время с точностью до микросекунды, кто кому, флаги, порядковый номер, окно, длина полезной части. Три строки выше это рукопожатие: постучались, ответили, подтвердили. Разница между первой и второй строкой это ваша задержка до узла, двадцать шесть миллисекунд.

Буква R в дампе означает, что кто-то из двоих закрыл дверь ногой. Смотрите, с какой стороны она прилетела: адрес в начале строки скажет, кто именно.

На Windows та же логика, названия другие. Есть встроенный pktmon, есть tshark из комплекта Wireshark. Я обычно снимаю дамп в файл на сервере и открываю его дома глазами.

Раз уж речь про файл. Дамп на экран годится для быстрого взгляда, всё длиннее пары минут пишите на диск:

sudo tcpdump -i any -nn -w /tmp/probe.pcap -C 50 -W 4 port 1080

Ключ -C 50 режет по пятьдесят мегабайт, -W 4 держит четыре файла по кругу, старые затираются. Диск не кончится, даже если забудете выключить. Читается потом обычным tcpdump -r /tmp/probe.pcap или мышкой в Wireshark.

вот это прямо про мой случай, у меня обрывы были и я думал на посредника, а прилетало с сайта. спасибо

Данила Р, классика. Половина жалоб на посредника лечится одним дампом на пять минут.

Кину в закладки раздела, тема пусть висит для новеньких. Если что-то в выводе непонятно, приносите строку сюда, разберём по частям.