Site icon bintorosoft.com

tcpdump-Tutorial fürs NOC: Pflicht-Filter für 80% der Fälle

Red Snapper

Ein tcpdump-Tutorial fürs NOC ist dann wirklich hilfreich, wenn es sich auf die Pflicht-Filter konzentriert, die in 80% der Fälle schnell Klarheit bringen: „Kommt Traffic an? Geht Traffic raus? Welche Hosts und Ports sind beteiligt? Ist es DNS, ARP, TCP-Handshake, Retransmission, Reset, ICMP oder schlicht ein falsches Interface?“ tcpdump ist dabei eines der zuverlässigsten Werkzeuge, weil es direkt auf Paketebene arbeitet und sich auch in stressigen Incidents einsetzen lässt – vorausgesetzt, Sie filtern sauber und erzeugen Captures, die später in Wireshark oder in einer forensischen Pipeline auswertbar sind. Gleichzeitig ist tcpdump gefährlich, wenn es unkontrolliert läuft: Es kann produktive Systeme belasten, Datenträger füllen oder sensible Daten mitschneiden. Dieses Tutorial zeigt deshalb nicht nur „welche Filter“, sondern auch das Minimum an Setup-Disziplin (Interface-Auswahl, Snaplen, Rotation, Zeitstempel, Buffering), damit Sie im NOC schnell verwertbare Beweise sammeln. Der Fokus liegt auf praxiserprobten Filtern (BPF) für typische Incident-Klassen: Verbindungsaufbauprobleme, sporadischer Packet Loss, ARP-/L2-Themen, DNS-Ausfälle, Firewall-/Policy-Probleme, MTU/Fragmentierung, ECMP-Teilpfadfehler und „nur ein Teil kaputt“-Symptome.

Grundlagen: tcpdump, libpcap und BPF in einem Satz

tcpdump nutzt libpcap, um Pakete auf einem Interface zu erfassen, und filtert diese Pakete mit Berkeley Packet Filter (BPF) direkt im Kernel oder nahe am Capture-Pfad – dadurch sind gute Filter nicht nur übersichtlich, sondern auch performanter als „alles mitschneiden und später filtern“. Für die offizielle Referenz sind die tcpdump-Projektseite tcpdump.org sowie die Filter-Syntax in der Manual-Seite zu pcap-filter besonders hilfreich.

Vor dem ersten Capture: Minimaler Sicherheits- und Betriebsrahmen

Im NOC zählt Geschwindigkeit, aber ohne Leitplanken wird tcpdump schnell zum Risiko. Legen Sie daher drei Dinge immer fest: Scope (was genau wird beobachtet), Dauer (wie lange) und Speicherstrategie (wohin, wie groß).

Pflicht-Setup: Diese Optionen vermeiden die häufigsten Capture-Probleme

Viele Incidents scheitern nicht an fehlenden Filtern, sondern an einem Capture, das wegen falscher Optionen unbrauchbar wird (zu kleine Snaplen, falsches Interface, keine Rotation, DNS-Auflösung im Output). Die folgenden Prinzipien sind NOC-tauglich und hersteller-/plattformneutral.

Interface-Auswahl und „ich sehe nichts“-Fehler

Snaplen und Vollständigkeit

Wenn Sie nur Header brauchen (z. B. 5-Tuple, Flags), reicht oft eine kleinere Snaplen. Wenn Sie aber TLS-Handshake, DNS-Details oder MTU-/Fragmentthemen prüfen, ist eine größere Snaplen sicherer. Die typische NOC-Praxis ist: lieber ausreichend groß wählen, aber durch Filter und Rotation die Datenmenge kontrollieren.

Rotation statt „Disk voll“

Nutzen Sie ringförmige Dateien oder zeitbasierte Rotation, damit tcpdump nicht unendlich schreibt. Das ist der wichtigste Schutz gegen Overshoot im Incident.

Datenmenge grob abschätzen (für schnelle Entscheidungen)

Wenn Sie die erwartete Capture-Datenrate r (Byte/s) und die geplante Dauer t (s) kennen, können Sie die grobe Dateigröße G schätzen:

G = r ⋅ t

Für NOC-Zwecke reicht diese Überschlagsrechnung, um zu entscheiden, ob Sie Snaplen reduzieren, stärker filtern oder schneller rotieren müssen.

Pflicht-Filter 1: „Nur diesen Host“ und „nur dieses Netz“

Die häufigste NOC-Frage lautet: „Ist Host A überhaupt im Verkehr sichtbar?“ Dafür brauchen Sie keine komplexen Filter, sondern saubere Scope-Filter.

Praxisregel: Beginnen Sie in Incidents fast immer mit host oder net. Alles Weitere baut darauf auf.

Pflicht-Filter 2: „Nur dieser Port“ und „nur dieses Protokoll“

Wenn ein Service betroffen ist, grenzt Port/Protokoll extrem schnell ein. Dadurch vermeiden Sie riesige Captures und fokussieren auf den relevanten Dienst.

Typischer 80%-Use-Case: host X and (port 53 or port 443), um DNS- und HTTPS-Themen schnell zu trennen.

Pflicht-Filter 3: DNS-Probleme in Minuten sichtbar machen

DNS ist eine der häufigsten Ursachen für „Service down“, obwohl IP-Connectivity ok ist. DNS-Probleme zeigen sich oft als fehlende Antworten, NXDOMAIN-Fluten, falsche Server oder Timeouts.

Wenn Queries rausgehen, aber Responses fehlen, ist das entweder ein Pfad-/Firewall-/Policy-Thema oder ein Resolver-Problem. Für DNS-Hintergrund ist RFC 1035 (DNS) eine solide Referenz.

Pflicht-Filter 4: ARP, ND und „Layer-2 wirkt komisch“

Viele „L3“-Tickets sind in Wahrheit L2: falsches VLAN, ARP-Flapping, Duplicate IP, Gateway nicht erreichbar. ARP-Captures sind dafür extrem effizient.

Für IPv6 ist Neighbor Discovery das Pendant. Wenn Ihr NOC IPv6 betreibt, ergänzen Sie ND-Checks (ICMPv6). Eine allgemeine Einordnung liefert Neighbor Discovery.

Pflicht-Filter 5: TCP-Handshakes, SYNs, Resets und „Verbindung kommt nicht hoch“

Der Klassiker: Client meldet „Connection timeout“ oder „Connection refused“. Ein kurzer tcpdump zeigt sofort, ob SYN rausgeht, SYN/ACK zurückkommt oder RST gesendet wird.

SYN/SYN-ACK/RST: die wichtigsten Muster

Pflicht-Filter für TCP-Flags

Diese Filter sind BPF-Klassiker und funktionieren in den meisten Umgebungen zuverlässig. Für tieferen TCP-Kontext ist RFC 9293 (TCP) eine belastbare Grundlage.

Pflicht-Filter 6: ICMP – Ping ist nicht gleich Path Health

ICMP ist im NOC nützlich, aber häufig missverstanden: ICMP kann rate-limited sein, und ein Host kann ICMP blockieren, obwohl TCP/UDP funktionieren. Trotzdem ist ICMP unverzichtbar, um MTU, Unreachables und Redirects zu sehen.

Gerade „Fragmentation Needed“ ist ein schneller Beweis für MTU-/PMTUD-Probleme. Für ICMP-Details eignet sich RFC 792 (ICMP) als Referenz.

Pflicht-Filter 7: DHCP – „Client bekommt keine IP“

DHCP-Probleme wirken oft wie „Netzwerk down“, sind aber meist Broadcast-/Relay-/VLAN-Themen. Ein kurzer Capture zeigt sofort DISCOVER/OFFER/REQUEST/ACK und ob ein Relay im Spiel ist.

Pflicht-Filter 8: VLAN, Trunks und „ich sehe das falsche Segment“

In Switch-Umgebungen ist der VLAN-Kontext oft entscheidend. Wenn Sie auf einem Trunk mitschneiden, sollten Sie VLAN-Tags sichtbar machen (sofern Plattform und Setup es hergeben). Praktisch bedeutet das: Trunk-Capture plus Filter nach VLAN-ID, wenn unterstützt.

Wenn Sie regelmäßig VLAN-Tagged-Traffic analysieren, hilft als Hintergrund IEEE 802.1Q.

Pflicht-Filter 9: „Noise rausfiltern“ – damit Captures lesbar bleiben

Ein großer Hebel im NOC ist das Entfernen typischer Hintergrundprotokolle, die das Bild vernebeln: SSH-Management, Monitoring-Polls, Chatty-Service-Discovery. Der Trick ist, nicht zu aggressiv zu filtern, damit Sie nicht aus Versehen das Problem entfernen.

Praxisregel: Noise-Filter erst dann ergänzen, wenn Sie sicher sind, dass das Problem nicht in genau diesen Protokollen steckt.

Pflicht-Filter 10: „Nur ein Teil kaputt“ – ECMP, asymmetrisches Routing, Firewall-State

Wenn nur manche Verbindungen funktionieren, liegt die Ursache häufig in Teilpfaden (ECMP/LAG), asymmetrischem Routing oder stateful Firewalls. tcpdump kann solche Fälle sichtbar machen, wenn Sie die Richtung und die Return-Flows bewusst betrachten.

Asymmetrie sichtbar machen

Praktischer Filteransatz für „Request vs. Response“

Capture-Qualität: Drei Einstellungen, die später Stunden sparen

Ein NOC-Capture ist dann wertvoll, wenn er später reproduzierbar ausgewertet werden kann. Drei Disziplinen sind dafür entscheidend.

Für die praktische Auswertung ist Wireshark das Standardwerkzeug, und die tcpdump-Optionen sind über tcpdump manpage zuverlässig dokumentiert.

Die 80%-Checkliste: Schnellstart-Filter nach Incident-Typ

Im Betrieb hilft eine kompakte Zuordnung „Incident-Typ → Filter“. Die folgenden Kombinationen decken typische NOC-Fälle mit minimalem Denkaufwand ab.

Service wirkt down (Web/API)

DNS-Resolution kaputt

IP-Konflikt oder L2 flapping vermutet

MTU/PMTUD-Probleme („kleine Pakete ok, große kaputt“)

DHCP klappt nicht

Sporadische Timeouts

Typische Fehler im NOC und wie Sie sie vermeiden

Outbound-Quellen für vertiefendes Verständnis

Für die offizielle Dokumentation von Optionen und Ausgabeformaten ist die tcpdump manpage die wichtigste Referenz. Für die Filter-Syntax und viele der hier genannten Pflicht-Filter ist pcap-filter besonders relevant. Für eine fundierte TCP-Einordnung (Handshake, Flags, Zustände) eignet sich RFC 9293 (TCP), und für DNS-Grundlagen RFC 1035 (DNS). Für die visuelle Analyse und Filterung nach dem Capture ist Wireshark das etablierte Standardwerkzeug im NOC- und Incident-Kontext.

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version