tcpdump ile ağ trafiği inceleme

Bu rehberde ne yapacağız?

Bu rehberde tcpdump ile Linux sunucunuzdaki ağ trafiğini yakalamayı, filtrelemeyi ve kaydetmeyi öğreneceksiniz. Bağlantı sorunlarını, beklenmeyen trafiği, DNS cevaplarını ve güvenlik duvarı kurallarının etkisini görmek isteyen hosting ve sunucu yöneticilerine yöneliktir. Süre: yaklaşık 30 dakika.

tcpdump paketleri ağ arayüzü seviyesinde yakalayan komut satırı bir araçtır. Doğru filtrelerle yalnızca ilgilendiğiniz trafiği görürsünüz; filtre kullanmadan çalıştırmak hem okunmaz bir çıktı hem de gereksiz yük üretir.

Gereksinimler

• Debian/Ubuntu veya AlmaLinux/Rocky Linux sunucu ve sudo yetkisi
• Paket yakalamak için yetki gerekir; yakalanan paketler parola ve kişisel veri içerebilir. Yakalama yapmadan önce kurumunuzun politikasına ve KVKK gibi mevzuata uygunluğa dikkat edin
• Disk alanı: kayıt dosyaları hızla büyüyebilir
• Şifresiz protokollerin (HTTP, FTP, Telnet) içeriği okunabilir; TLS trafiğinde yalnızca üst bilgi düzeyi görürsünüz

Adım adım tcpdump ile ağ trafiği inceleme

1. tcpdump'ı kurun

Debian/Ubuntu için:

sudo apt update
sudo apt install tcpdump

AlmaLinux/Rocky için:

sudo dnf install tcpdump

2. Arayüzleri listeleyin

sudo tcpdump -D
ip -br addr

3. Temel yakalama

-nn seçeneği ad çözümlemesini kapatır (hem daha hızlıdır hem DNS tetiklemez), -i arayüzü belirtir, -c paket sayısını sınırlar.

sudo tcpdump -nn -i eth0 -c 20

4. Filtreleri kullanın

Filtre ifadeleri host, net, port, tcp, udp, icmp ve and, or, not işleçlerinden oluşur.

sudo tcpdump -nn -i eth0 host 203.0.113.50
sudo tcpdump -nn -i eth0 port 443 and host 203.0.113.50
sudo tcpdump -nn -i eth0 udp port 53
sudo tcpdump -nn -i eth0 icmp
sudo tcpdump -nn -i eth0 tcp port 22 and not host 203.0.113.10

SSH üzerinden bağlıysanız kendi SSH trafiğinizi dışarıda bırakın (son örnek gibi); aksi halde her yakalanan paket yeni SSH çıktısı üretir ve döngüye girer.

5. SYN paketlerini ve bağlantı denemelerini görün

Bir porta gelen yeni bağlantı girişimlerini görmek, güvenlik duvarının veya servisin sorununu ayırt etmede işe yarar.

sudo tcpdump -nn -i eth0 'tcp[tcpflags] & tcp-syn != 0 and dst port 443'

6. Dosyaya kaydedin ve sonra okuyun

Uzun süreli analizler için -w ile pcap dosyasına yazın, ardından -r ile okuyun veya Wireshark gibi bir araçta açın. -s 0 paketin tamamını yakalar.

sudo tcpdump -nn -i eth0 -s 0 -w /tmp/yakalama.pcap port 443
sudo tcpdump -nn -r /tmp/yakalama.pcap | head -n 50

7. Dosyaları döndürerek diski koruyun

Diski doldurmamak için dosya boyutuna ve sayısına sınır koyun. Aşağıdaki komut her biri yaklaşık 100 MB olan en fazla 5 dosya tutar.

sudo tcpdump -nn -i eth0 -w /var/tmp/trafik.pcap -C 100 -W 5 port 80

Yakalama işini Ctrl+C ile durdurun. Kayıtlar işiniz bitince güvenli biçimde silinmelidir.

Doğrulama

Yakalamanın çalıştığını doğrulamak için bir tarafta tcpdump'ı, diğer tarafta ping gibi bir test trafiğini çalıştırın.

sudo tcpdump -nn -i eth0 icmp

Başka bir terminalden ping -c 3 sunucu-adresi çalıştırdığınızda echo request ve echo reply satırlarını görmelisiniz. Kaydettiğiniz dosyanın okunabildiğini tcpdump -r ile ve boyutunu ls -lh ile teyit edin.

Sık karşılaşılan sorunlar

• Çıktı hiç gelmiyor: yanlış arayüz seçilmiştir. tcpdump -D ve ip -br addr ile doğru arayüzü bulun, -i any ile deneyin.
• Çıktı çok hızlı akıyor: filtre ekleyin, -c ile sınırlayın veya dosyaya yazın.
• Permission denied: sudo ile çalıştırın.
• Paket kaybı raporu (packets dropped by kernel): yoğun trafikte filtreyi daraltın, -s değerini küçültün veya dosyaya yazın.
• TLS içeriği okunmuyor: bu beklenen durumdur; yalnızca bağlantı üst bilgilerini ve zamanlamayı inceleyebilirsiniz.

Güvenlik ve bakım notları

• Yakalama dosyalarında parola, çerez ve kişisel veriler bulunabilir; yalnızca yetkili kişilerce erişilebilen yerde saklayın.
• İşiniz bitince pcap dosyalarını silin ve süresiz saklamayın.
• Üretim sunucusunda uzun süreli ve filtresiz yakalamadan kaçının; yük ve disk riski vardır.
• Yalnızca kendi yönettiğiniz ağlarda ve izniniz olan sistemlerde paket yakalayın.
• Yakalama araçlarına erişimi sınırlı tutun; sudo yetkisini gereksiz kişilere vermeyin.