Kwalifikacja: INF.06 - Montaż i eksploatacja szerokopasmowych sieci kablowych pozabudynkowych

Tcpdump bardzo często myli się z innymi narzędziami sieciowymi właśnie dlatego, że wszędzie pojawia się w kontekście „sieci”. Warto to sobie raz porządnie poukładać. Tcpdump jest narzędziem do przechwytywania i analizy ruchu sieciowego, czyli działa pasywnie: ogląda pakiety, nie zmienia ustawień systemu. Jeżeli ktoś kojarzy je z modyfikacją tablicy routingu, to najpewniej miesza je z poleceniami typu route, ip route czy w starszych materiałach z ifconfig. Tablica routingu to logika „którędy wysłać pakiet”, a tcpdump tylko pokazuje, co tymi trasami faktycznie płynie. Z mojego doświadczenia to częsty błąd: ktoś widzi, że tcpdump pokazuje ruch na różnych interfejsach i zakłada, że może też tym ruchem „sterować”. Podobnie jest z DNS. Wysłanie zapytania do serwera DNS realizuje się narzędziami takimi jak dig, nslookup albo host. Tcpdump może co najwyżej podejrzeć, jak wygląda zapytanie i odpowiedź DNS na poziomie pakietów UDP/TCP, ale samo nie generuje tych zapytań w sensie funkcjonalnym. Można oczywiście uruchomić tcpdump z filtrem portu 53 i oglądać zapytania DNS, lecz to dalej jest czysta analiza, a nie aktywne pytanie serwera o rekordy. Kolejna kwestia to modyfikacja ustawień protokołu TCP/IP. Za to odpowiada konfiguracja systemu, pliki konfiguracyjne, polecenia ip, sysctl, edycja parametrów jądra, konfiguratory sieciowe w dystrybucjach Linuksa. Tcpdump nie ustawia MTU, nie zmienia masek sieciowych, nie definiuje bramy domyślnej ani nie przełącza interfejsów. Ono jedynie „podsłuchuje”, jak te ustawienia przekładają się na realny ruch. Typowy błąd myślowy polega na tym, że skoro narzędzie pokazuje bardzo szczegółowe informacje o protokołach, to ludzie zakładają, że musi też dać się nimi zarządzać. W dobrze prowadzonym środowisku sieciowym rozdziela się jednak narzędzia konfiguracyjne od narzędzi diagnostycznych. Tcpdump należy zdecydowanie do tej drugiej grupy – jest świetny do analizy, debugowania, audytu bezpieczeństwa, ale nie służy do wprowadzania zmian w infrastrukturze sieciowej.