Фильтры wireshark¶

  tcpdump -s 0 -vi eth0 -w file.pcap

  -s 0 (snaplen): Устанавливает длину захватываемого пакета.  
    Значение 0 означает захват пакета целиком (в современных версиях это эквивалентно 262144 байтам). 
    Это важно, чтобы данные внутри пакетов не обрезались.

  -v: Увеличивает детализацию вывода (verbose).
    ! при режиме записи в файл данный параметр полезен тем, что показывает сколько пакетов принято "Got 33" - что очень полезно для понимания 

  -i eth0 (interface): Указывает сетевой интерфейс.

  -w file.pcap (write): Записывает "сырые" пакеты в файл file.pcap 
    вместо вывода их текстового описания в терминал.

  sudo tcpdump -s 0 -Uli eth0  -w - | wireshark -k -i -

  sudo: выполнение с правами суперпользователя (необходимо для доступа к сетевому интерфейсу).
  -s 0: устанавливает размер снимка (snaplen) в значение по умолчанию (обычно 262144 байт), 
    чтобы захватывать пакеты целиком, а не обрезать их.
  -U: включает "unbuffered" режим — пакеты отправляются в поток сразу по мере поступления, не дожидаясь заполнения буфера.
  -l: делает стандартный вывод (stdout) строчно-буферизованным для корректной передачи данных через конвейер (|).
  -i eth0: указывает интерфейс для прослушивания (eth0).
  -w -: записывает "сырые" данные в stdout вместо файла.
  |: передает вывод первой команды на вход второй.
  wireshark -k -i -: запускает Wireshark, где -k означает немедленное начало захвата, а -i - указывает использовать данные из стандартного ввода (stdin).

  для того, чтобы зайти в режим sudo надо изначально авторизоваться командами 
  "sudo su" - зайти как  su 
  "exit" - выход из su после

 sshpass -p "MYPASS" ssh -q user@192.168.0.1 " echo 'MYPASS' | sudo -S tcpdump -s 0 -Uli ens18 -w - " | wireshark -k -i -

 Разбор компонентов:
  sshpass -p "MYPASS": Автоматизирует ввод пароля для SSH-соединения (sshpass - отдельная программа)
  ssh -q user@192.168.0.1: Подключается к удаленному серверу
    -q (quiet): Подавляет лишние сообщения (например, баннеры приветствия). 
                Это важно, чтобы в Wireshark летел только поток пакетов, а не текст "Welcome to Ubuntu".
  echo 'MYPASS' | sudo -S ...: Передает пароль для sudo, чтобы выполнить команду с правами суперпользователя без интерактивного запроса

  tcpdump -s 0 -Uli ens18 -w -:
  -s 0 :Захватывает пакет целиком (полный размер)
  -U :Пакетный вывод без буферизации (немедленная отправка) 
  -l :Линейная буферизация stdout
  -i ens18 :Интерфейс для прослушивания.
  -w - :Запись сырых данных в стандартный вывод (stdout) вместо файла.

  | wireshark -k -i - :Перенаправление данных в wireshark
  -k: Немедленный запуск захвата 
  -i -: Прием данных для анализа из стандартного ввода (stdin) [2, 4].

  !!!важно!!!
  пароль в данном случае передается в открытом виде и будет виден в history
  нужно учитывать эти риски при применении данного набора команд 

 Объяснение выполнения данного набора команд - сгенерировано ИИ. 
 Проверил - всё верно!) 

 sshpass -p "MYPASS" ssh -q user@192.168.0.1 " echo 'MYPASS' | sudo -S ip netns exec clab-bgp-ula-r1 tcpdump -s 0 -Uli eth2 -w - " | wireshark -k -i -

 Давайте разберем эту конструкцию «по кирпичикам». Она состоит из трех основных частей: аутентификация, захват трафика на удаленном узле и визуализация в Wireshark.
 1. sshpass -p 'MYPASS'
 Обычно SSH требует ручного ввода пароля. sshpass — это утилита, которая автоматически «подсовывает» пароль в ответ на запрос SSH.
 Зачем: Чтобы вся цепочка команд запускалась одной строкой без остановок.
 Нюанс: Это не самый безопасный способ (пароль виден в списке процессов ps). В идеале лучше использовать SSH-ключи.
 2. ssh -q user@192.168.0.1
 Стандартное подключение к удаленному серверу.
 -q (quiet): Подавляет лишние сообщения (например, баннеры приветствия). Это важно, чтобы в Wireshark летел только поток пакетов, а не текст "Welcome to Ubuntu".
 3. Удаленная команда (в кавычках)
 Здесь происходит "магия" внутри сервера:
 echo 'MYPASS' | sudo -S: Передает пароль команде sudo. Флаг -S заставляет sudo читать пароль из стандартного ввода (stdin), а не из терминала. Это нужно для запуска ip netns с правами root.
 ip netns exec clab-bgp-ula-r1: Выполняет последующую команду внутри конкретного сетевого пространства имен (Network Namespace). В средах вроде Containerlab (clab) каждый роутер — это отдельный namespace.
 tcpdump -i eth2 -s 0 -U -w -:
 -i eth2: Слушать интерфейс eth2.
 -s 0: Захватывать пакет целиком (snarf length 0 = unlimited).
 -U: (Packet-buffered) Отправлять каждый пакет в поток сразу, как только он получен, не дожидаясь заполнения буфера.
 -w -: Записывать «сырые» данные (pcap-формат) прямо в стандартный вывод (-), вместо сохранения в файл.
 4. | wireshark -k -i -
 Труба (|) перенаправляет двоичный поток данных от tcpdump (через SSH) на вход локальному Wireshark.
 -k (start immediately): Начать захват сразу после запуска.
 -i - (interface stdin): Сказать Wireshark, что данные нужно брать из стандартного ввода (stdin), а не с сетевой карты вашего компьютера.

 Итог: Вы видите пакеты с интерфейса eth2 роутера r1 в графическом интерфейсе своего Wireshark так, будто вы подключены к нему напрямую.