which tcpdump
tcpdump --version
# 없으면 설치
sudo apt-get install -y tcpdump   # Ubuntu/Debian
sudo yum install -y tcpdump       # CentOS/RHEL

# 1. 특정 포트만 캡처
sudo tcpdump -i eth0 -n port 80

# 2. 특정 호스트만 캡처
sudo tcpdump -i eth0 -n host 192.168.1.10

# 3. AND 조합: 특정 호스트의 특정 포트
sudo tcpdump -i eth0 -n host 192.168.1.10 and port 443

# 4. OR 조합: HTTP 또는 HTTPS
sudo tcpdump -i eth0 -n port 80 or port 443

# 5. 특정 호스트 제외
sudo tcpdump -i eth0 -n not host 192.168.1.1

# 6. 출발지(src) 또는 목적지(dst) 지정
sudo tcpdump -i eth0 -n src host 192.168.1.5
sudo tcpdump -i eth0 -n dst port 22

# 7. 네트워크 대역 전체
sudo tcpdump -i eth0 -n net 192.168.1.0/24

# 8. ICMP만 캡처 (ping 분석용)
sudo tcpdump -i eth0 -n icmp

# 9. TCP SYN 패킷만 (연결 시도만 모니터링)
sudo tcpdump -i eth0 -n 'tcp[tcpflags] & tcp-syn != 0'

# 10. TCP RST 패킷만 (연결 거부/리셋 모니터링)
sudo tcpdump -i eth0 -n 'tcp[tcpflags] & tcp-rst != 0'

# 캡처 가능한 인터페이스 목록
sudo tcpdump -D
# 1. eth0
# 2. lo
# 3. any  ← 모든 인터페이스

# 터미널 1에서 실행
# 로컬 80포트 또는 테스트 서버 IP를 지정
sudo tcpdump -i lo -n port 8080 -v

# 외부 웹서버를 대상으로 할 경우
sudo tcpdump -i eth0 -n 'port 80 and host example.com'

# 터미널 2에서 실행
# 로컬 테스트 서버가 없으면 먼저 간단한 서버 실행
python3 -m http.server 8080 &

# curl로 요청
curl -v http://localhost:8080/

# tcpdump 출력 예시 (주석 추가)

# [1단계] SYN: 클라이언트(포트 54322)가 서버(포트 8080)로 연결 요청
14:32:01.001234 IP 127.0.0.1.54322 > 127.0.0.1.8080:
    Flags [S], seq 3847291836, win 65495, options [mss 65495,...], length 0
    # [S] = SYN 플래그
    # seq = 클라이언트의 초기 시퀀스 번호(ISN)

# [2단계] SYN-ACK: 서버가 수락 응답
14:32:01.001345 IP 127.0.0.1.8080 > 127.0.0.1.54322:
    Flags [S.], seq 2910847362, ack 3847291837, win 65483, length 0
    # [S.] = SYN + ACK 플래그
    # ack = 클라이언트 ISN + 1 (다음 번 이 번호를 기대)
    # seq = 서버의 ISN

# [3단계] ACK: 클라이언트가 확인
14:32:01.001356 IP 127.0.0.1.54322 > 127.0.0.1.8080:
    Flags [.], ack 2910847363, win 512, length 0
    # [.] = ACK 플래그 (. 은 ACK만 있다는 의미)
    # ack = 서버 ISN + 1

# [데이터] HTTP GET 요청 전송
14:32:01.001400 IP 127.0.0.1.54322 > 127.0.0.1.8080:
    Flags [P.], seq 1:78, ack 1, length 77: HTTP: GET / HTTP/1.1
    # [P.] = PUSH + ACK
    # length 77 = HTTP 요청 헤더 크기

# 캡처를 파일로 저장
sudo tcpdump -i lo -n port 8080 -w /tmp/web_capture.pcap

# 다른 터미널에서 curl 실행 후 Ctrl+C로 캡처 중지

# 저장된 파일 읽기
tcpdump -r /tmp/web_capture.pcap -n
tcpdump -r /tmp/web_capture.pcap -n -A   # ASCII로 HTTP 내용도 확인

# 저장된 파일에서 BPF 필터 적용해서 읽기
tcpdump -r /tmp/web_capture.pcap -n 'tcp[tcpflags] & tcp-syn != 0'

# 포트 미오픈인 경우 (서비스가 해당 포트에서 listening하지 않음)
# RST 패킷이 즉시 돌아옴
sudo tcpdump -i eth0 -n 'port 9999 and host 192.168.1.10'

# 다른 터미널
curl http://192.168.1.10:9999/

# 예상 캡처:
# 클라이언트 → 서버: [S] (SYN)
# 서버 → 클라이언트: [R.] (RST+ACK) - "이 포트는 없어"

# 방화벽 DROP인 경우 (패킷을 조용히 버림)
# RST도 없고, SYN만 보내고 응답 없음 (timeout까지 대기)
# 예상 캡처:
# 클라이언트 → 서버: [S] (SYN)
# (응답 없음)
# 클라이언트 → 서버: [S] (SYN 재전송, ~1초 후)
# 클라이언트 → 서버: [S] (SYN 재전송, ~3초 후)
# 클라이언트 → 서버: [S] (SYN 재전송, ~7초 후)

# Retransmission 패킷 캡처 (실제 네트워크 문제 상황)
sudo tcpdump -i eth0 -n -w /tmp/retransmit.pcap port 80

# 저장된 파일 분석
tcpdump -r /tmp/retransmit.pcap -n

# Retransmission 패킷은 이전에 보낸 seq 번호가 그대로 재등장
# 예시:
# 14:00:01.000 seq 1001:2001  ← 최초 전송
# 14:00:01.200 seq 1001:2001  ← Retransmission! (같은 seq 다시 전송)
# 14:00:01.600 seq 1001:2001  ← 재전송 #2 (간격 2배로 증가: Exponential Backoff)

# HTTP 요청/응답 내용을 ASCII로 덤프
sudo tcpdump -i eth0 -n -A port 80 | grep -A 5 "HTTP/"

# 예시 출력:
# GET / HTTP/1.1
# Host: example.com
# User-Agent: curl/7.81.0
# ---
# HTTP/1.1 200 OK
# Content-Type: text/html

# 기본 snaplen은 패킷 헤더 정도만 캡처
# -s 0 으로 전체 패킷 캡처 (파일 크기 주의)
sudo tcpdump -i eth0 -n -s 0 -w /tmp/full.pcap port 80

# 첫 100바이트만 (헤더 분석용, 파일 크기 절약)
sudo tcpdump -i eth0 -n -s 100 -w /tmp/header.pcap port 80