慣れないうちは画面に流しながら眺めていましたが、
流れていくのが速すぎて何も分からないまま終わることが多かったです。
-w でファイルに書いてから、落ち着いて読むほうが圧倒的に楽でした。
tcpdump -i eth0 -s 0 -w /tmp/cap.pcap 'tcp port 443'-s 0 を付けないと途中で切られます。
最近のバージョンは既定で全長を取るようになっているはずですが、
明示しておくほうが安心です。
読むときは -r で。
tcpdump -r /tmp/cap.pcap -nn | head -50-nn で名前解決を止めると表示が速くなります。
サービス名への変換待ちで止まっているように見えることがあるので、
最初から付けておくのが無難です。
トラフィックの多い時間帯に取ると、すぐに数百 MB になります。
-c でパケット数を区切るか、-C と -W で
ローテートさせるか、どちらかは決めておいたほうがいいです。
tcpdump -i eth0 -s 0 -C 50 -W 4 -w /tmp/cap.pcap 'tcp port 443'解析は wireshark に投げることもありますが、
まずは tcpdump -r で目当てのフローだけ絞ってから
必要な範囲だけ渡すようにしています。