Linux のパケットキャプチャーの結果を Windows からリアルタイムに確認

Linux のパケットキャプチャーの結果を Windows からリアルタイムに確認する方法を紹介します。

手順
1. Linux に ssh するユーザー (本環境では tr) で、tcpdump コマンドをパスワード無く sudo できるようにするために Linux の sudoers ファイルを編集します。

sudo visudo

2. 以下の行を追加します。

tr ALL=(ALL) NOPASSWD: /usr/sbin/tcpdump

3. Windows で以下のコマンドを実行します。
ssh コマンドは Windows 10 以降の OS にデフォルトでインストールされています。Wireshark は事前にインストールしておきます。

ssh tr@10.0.2.110 "sudo tcpdump -U -s0 -w - not port 22" | "C:\Program Files\Wireshark\Wireshark.exe" -k -i -

引数の意味は以下です。

引数	意味
-U	バッファーなくパケットをキャプチャー
-s0	全てキャプチャー
-w -	標準出力に結果を出力
\| "C:\Program Files\Wireshark\Wireshark.exe" -k -i -	tcpdump の出力を Wireshark に渡す。直ちにキャプチャーを開始。(-k) 入力は標準入力 (-i -)