tcpdump でネットワークトラフィックを解析する

はじめに

業務でアプリの開発をしていた際、アプリが通信する先の UTM（統合脅威管理）でアクセス過多が検知されました。
どこからどれだけのリクエストが飛んでいるのかを確認する必要があり、同僚に相談したところ tcpdump コマンドを教えてもらいました。
本記事はその備忘録です。

tcpdump は Linux で利用できる CLI のパケットキャプチャツールです。
ネットワークインターフェースを流れるパケットをリアルタイムで表示・記録できます。

コマンドが入っていない場合は以下のコマンドでインストールします。

sudo apt update
sudo apt install tcpdump

sudo tcpdump

何もオプションを指定しない場合、デフォルトのネットワークインターフェースのパケットを表示します。

sudo tcpdump -i eth0

-i オプションでキャプチャするインターフェースを指定します。
利用可能なインターフェースを確認するには以下のコマンドを使います。

sudo tcpdump -c 100

-c オプションで取得するパケット数の上限を指定できます。
大量に流れる環境では指定しておくと便利です。

今回の調査で実際に使ったのがこの方法です。

-n オプションは DNS 逆引きを無効化するもので、IP アドレスをそのまま表示させるために使用しています。

sudo tcpdump -n host 192.168.1.100

host キーワードに続けて IP アドレスを指定すると、その IP との通信だけをフィルタリングできます。

sudo tcpdump -n src host 192.168.1.100

src host とすることで、その IP からの送信パケットのみに絞り込めます。

sudo tcpdump -n dst host 192.168.1.100

dst host とすることで、その IP 宛てのパケットのみに絞り込めます。

sudo tcpdump -n host 192.168.1.100 and port 443

and で条件を組み合わせられます。HTTPS トラフィックに限定したい場合や、Dockerでコンテナのポートを指定している場合などに便利です。

今回使用した主なオプションをまとめます。