Tcpdump примеры.
Практика использования утилиты tcpdump для парсинга трафика.

Смотри весь трафик на сетевом интерфейсе и отфильтровыванием наши пакеты ssh порт (2211).

tcpdump -i igb0 not dst port 2211

Смотри весь трафик на предмет определенного ip адреса.

tcpdump host 23.0.13.4

Смотрим информацию о пакете в шестнадцатеричной системе.

tcpdump -nnvXSs 0 -c1 icmp

Смотрим трафик источник.

tcpdump src 23.0.13.4

Трафик назначения.

tcpdump dst 23.0.13.4

Отфильтровываем пакеты не icmp идущие к 2.1.0.10

tcpdump dst 2.1.0.10 and src net and not icmp

Ищем весь трафик от 10.10.2.73 к порту 3306

tcpdump -nnvvS src 10.10.2.73 and dst port 3306

Смотрим трафик от сети 10.8.0.0/16 к сетям 192.0.0.0/8 or 172.16.0.0/16

tcpdump -nvX src net 10.8.0.0/16 and dst net 192.0.0.0/8 or 172.16.0.0/16

Смотри трафик по определенному диапазону портов.

tcpdump portrange 100-110

Смотрим пакеты от нужной там под сети.

tcpdump net 1.2.3.0/24

Смотрим сетевую активность определенного порта.

tcpdump src port 221

Ищем трафик по размеру пакета.

tcpdump less 32
tcpdump greater 64
tcpdump <= 128

Фильтруем трафик по протоколам tcp, udp, icmp.

tcpdump udp

Смотрим ipv6 пакеты.

tcpdump ip6

Фильтруем данные в файл.

tcpdump port 51 -w net_traf

Чтение файла

tcpdump -r net_traf

-i igb0 прослушивать интерфейс igb0. Задаем интерфейс, с которого необходимо просмотреть трафик.
-q Показывает минимум информации о пакете.
-n Вместо хостов, отображаем ip адреса.
-nn Вместо имен хостов и протоколов, показываем ip адреса c номером порта.
-t Без метки времени в каждой строке.
-tttt Для каждой строки, задаем вывод временных меток в принятом по умолчанию формате.
-v, -vv, -vvv Увеличиваем вывод дополнительной информации опции ip адрес, ttl.
-c Получить определенное количество пакетов, а затем останавливаем парсинг.
-e Смотрим ethernet заголовки, включает показ данных канального уровня.
-E Предоставив ключ шифрования, дешифруем трафика IPSEC.
-r Чтение файла.
-p Захватываем трафик предназначенный данному хосту.
-X Смотрим содержимое пакета в шестнадцатеричной кодировке и в ASCII.
-XX Аналогично, что и опция -X, но добавляет просмотр ethernet заголовки.

Это малая часть tcpdump примеры.

FreeBSD сколько трафика прошло.