Tcpdump Nedir? Temel Tanım ve İşlevi

Tcpdump, ağ trafiğini yakalamak ve analiz etmek için kullanılan, komut satırı tabanlı, güçlü bir paket analiz aracıdır. Temel olarak, ağ kartınızdan geçen tüm veri paketlerini (TCP, UDP, ICMP, vb.) yakalar ve bunları insan tarafından okunabilir bir formatta görüntüler veya daha sonra analiz edilmek üzere bir dosyaya kaydeder. Tcpdump, ağ sorunlarını gidermek, güvenlik açıklarını tespit etmek, ağ performansını izlemek ve genel olarak ağ trafiği hakkında bilgi edinmek için yaygın olarak kullanılır.

Önemli Nokta: Tcpdump, sadece paketleri yakalar ve analiz eder. Paketleri değiştirmez veya ağ trafiğini engellemez. Bu, onu pasif bir izleme aracı yapar.

Tcpdump Nasıl Kurulur?

Tcpdump, çoğu Linux dağıtımında varsayılan olarak yüklü gelmeyebilir. Ancak, paket yöneticisi aracılığıyla kolayca kurulabilir.

Debian/Ubuntu: sudo apt-get update && sudo apt-get install tcpdump
CentOS/RHEL: sudo yum install tcpdump
macOS: Tcpdump genellikle macOS'ta önceden yüklenmiştir. Değilse, Homebrew kullanarak kurabilirsiniz: brew install tcpdump

Kurulumdan sonra, tcpdump'ı çalıştırmak için genellikle root veya sudo yetkilerine ihtiyacınız olacaktır, çünkü ağ arayüzlerine erişim ayrıcalıklı bir işlemdir.

Tcpdump'ın Temel Kullanımı Nasıldır?

Tcpdump'ın en basit kullanımı, ağ arayüzünden geçen tüm trafiği yakalamak ve ekrana yazdırmaktır. Bu, aşağıdaki komutla yapılabilir:

sudo tcpdump

Bu komut, tüm ağ trafiğini yakalamaya başlayacak ve her paketin başlık bilgilerini (kaynak IP adresi, hedef IP adresi, port numaraları, vb.) ekrana yazdıracaktır. Çıktıyı durdurmak için Ctrl+C tuşlarına basabilirsiniz.

Önemli Nokta: Bu komut çok fazla çıktı üretebilir, bu nedenle filtreler kullanmak önemlidir.

Tcpdump'ta Filtreler Nasıl Kullanılır?

Tcpdump'ta filtreler, yalnızca belirli kriterleri karşılayan paketleri yakalamak için kullanılır. Filtreler, BPF (Berkeley Packet Filter) sözdizimi kullanılarak belirtilir.

Temel Filtre Örnekleri:

Belirli bir IP adresinden gelen veya giden trafiği yakalamak: sudo tcpdump host 192.168.1.100
Belirli bir porta gelen veya giden trafiği yakalamak: sudo tcpdump port 80 (HTTP trafiği)
Belirli bir ağdan gelen veya giden trafiği yakalamak: sudo tcpdump net 192.168.1.0/24
Sadece TCP trafiğini yakalamak: sudo tcpdump tcp
Sadece UDP trafiğini yakalamak: sudo tcpdump udp
ICMP trafiğini yakalamak: sudo tcpdump icmp

Filtreleri Birleştirmek:

Filtreleri birleştirmek için and, or ve not operatörlerini kullanabilirsiniz.

192.168.1.100 adresinden gelen ve 80 portuna giden TCP trafiğini yakalamak: sudo tcpdump 'src host 192.168.1.100 and dst port 80 and tcp'
80 veya 443 portuna gelen trafiği yakalamak: sudo tcpdump 'port 80 or port 443'
192.168.1.0/24 ağından gelmeyen trafiği yakalamak: sudo tcpdump 'not net 192.168.1.0/24'

Önemli Nokta: Filtreler, komut satırında tırnak içine alınmalıdır, özellikle birden fazla koşul içeriyorlarsa.

Tcpdump Çıktısı Nasıl Yorumlanır?

Tcpdump çıktısı, yakalanan her paket için bir satır içerir. Her satır, paketin başlık bilgilerini içerir. Temel bilgiler şunlardır:

Timestamp: Paketin yakalandığı tarih ve saat.
Source Address and Port: Paketin gönderildiği IP adresi ve port numarası.
Destination Address and Port: Paketin hedeflendiği IP adresi ve port numarası.
Flags: TCP bayrakları (SYN, ACK, FIN, RST, PSH, URG).
Sequence Number and Acknowledgment Number: TCP sekans numarası ve onay numarası.
Window Size: TCP pencere boyutu.
Length: Paketin uzunluğu.

Örnek Tcpdump Çıktısı:

10:30:45.123456 IP 192.168.1.100.54321 > 192.168.1.1.80: Flags [S], seq 1234567890, win 65535, options [mss 1460,sackOK,TS val 123456789 ecr 0,nop,wscale 7], length 0

Bu çıktının anlamı:

10:30:45.123456: Paketin yakalandığı saat.
IP 192.168.1.100.54321 > 192.168.1.1.80: 192.168.1.100 adresinin 54321 portundan, 192.168.1.1 adresinin 80 portuna bir paket gönderildi.
Flags [S]: TCP SYN bayrağı ayarlanmış. Bu, bir TCP bağlantısı kurma isteği anlamına gelir.
seq 1234567890: TCP sekans numarası.
win 65535: TCP pencere boyutu.
length 0: Paketin veri kısmı 0 bayt uzunluğunda.

TCP Bayraklarının Anlamları:

SYN (Synchronization): Yeni bir TCP bağlantısı başlatır.
ACK (Acknowledgment): Bir paketin başarıyla alındığını onaylar.
FIN (Finish): Bir TCP bağlantısını sonlandırır.
RST (Reset): Bir TCP bağlantısını sıfırlar (genellikle bir hata durumunda).
PSH (Push): Verinin hemen gönderilmesini ister.
URG (Urgent): Acil veriyi işaretler.

Tcpdump ile Paketleri Bir Dosyaya Kaydetmek ve Okumak

Tcpdump, yakalanan paketleri bir dosyaya kaydetmek için kullanılabilir. Bu, daha sonra analiz etmek için kullanışlıdır.

Paketleri Bir Dosyaya Kaydetmek:

sudo tcpdump -w capture.pcap

Bu komut, tüm ağ trafiğini capture.pcap adlı bir dosyaya kaydeder. -w seçeneği, tcpdump'a paketleri bir dosyaya yazmasını söyler.

Kaydedilmiş Paketleri Okumak:

tcpdump -r capture.pcap

Bu komut, capture.pcap dosyasındaki paketleri okur ve ekrana yazdırır. -r seçeneği, tcpdump'a paketleri bir dosyadan okumasını söyler.

Kaydedilmiş Paketleri Filtrelemek:

tcpdump -r capture.pcap 'host 192.168.1.100'

Bu komut, capture.pcap dosyasındaki paketleri okur ve sadece 192.168.1.100 adresinden gelen veya giden paketleri ekrana yazdırır.

Tcpdump ile Farklı Ağ Arayüzlerini İzlemek

Tcpdump, varsayılan olarak ilk ağ arayüzünü (genellikle eth0 veya en0) dinler. Farklı bir arayüzü dinlemek için -i seçeneğini kullanabilirsiniz.

Arayüzleri Listelemek:

tcpdump -D

Bu komut, sistemdeki tüm ağ arayüzlerini listeler.

Belirli Bir Arayüzü Dinlemek:

sudo tcpdump -i wlan0

Bu komut, wlan0 adlı ağ arayüzünü dinler.

Tcpdump'ta Kullanılan Yaygın Seçenekler ve Parametreler

Tcpdump, birçok seçenek ve parametreye sahiptir. İşte en yaygın kullanılanlardan bazıları:

Seçenek	Açıklama
`-i <arayüz>`	Belirli bir ağ arayüzünü dinler.
`-n`	IP adreslerini ve port numaralarını çözmez (daha hızlı).
`-nn`	IP adreslerini, port numaralarını ve protokol adlarını çözmez (en hızlı).
`-v`	Daha ayrıntılı çıktı sağlar (verbose).
`-vv`	Çok daha ayrıntılı çıktı sağlar (very verbose).
`-vvv`	En ayrıntılı çıktı sağlar (extremely verbose).
`-x`	Paketin içeriğini onaltılık (hexadecimal) formatta görüntüler.
`-X`	Paketin içeriğini hem onaltılık hem de ASCII formatında görüntüler.
`-w <dosya>`	Paketleri belirtilen dosyaya kaydeder.
`-r <dosya>`	Paketleri belirtilen dosyadan okur.
`-c <sayı>`	Belirtilen sayıda paket yakaladıktan sonra durur.
`-s <uzunluk>`	Yakalanacak paket boyutunu (snaplen) belirtir. 0, tüm paketi yakalar.
`-D`	Mevcut ağ arayüzlerini listeler.

Gerçek Hayattan Tcpdump Kullanım Örnekleri ve Vaka Çalışmaları

Tcpdump, çeşitli ağ sorunlarını gidermek ve analiz etmek için kullanılabilir. İşte bazı gerçek hayattan örnekler:

Ağ Performans Sorunlarını Giderme: Bir web sitesinin yavaş yüklendiğini varsayalım. Tcpdump kullanarak, sunucu ile istemci arasındaki ağ trafiğini yakalayabilir ve gecikmeye neden olan paketleri veya sorunlu TCP bağlantılarını tespit edebilirsiniz. Örneğin, yüksek gecikme sürelerine sahip SYN/ACK paketlerini veya kayıp paketleri arayabilirsiniz.
Güvenlik Açıklarını Tespit Etme: Tcpdump, ağda şüpheli trafiği tespit etmek için kullanılabilir. Örneğin, belirli bir IP adresinden gelen anormal miktarda trafiği veya bilinen kötü amaçlı yazılımlarla ilişkili portlara giden trafiği tespit edebilirsiniz.
Uygulama Sorunlarını Giderme: Bir uygulamanın düzgün çalışmadığını varsayalım. Tcpdump kullanarak, uygulamanın ağ trafiğini yakalayabilir ve hatalı veri paketlerini veya iletişim sorunlarını tespit edebilirsiniz. Örneğin, hatalı HTTP yanıt kodlarını veya eksik SQL sorgularını arayabilirsiniz.
DoS (Denial of Service) Saldırılarını Analiz Etme: Bir sunucuya DoS saldırısı yapıldığını varsayalım. Tcpdump kullanarak, saldırı trafiğini yakalayabilir ve saldırının kaynağını ve türünü tespit edebilirsiniz. Örneğin, belirli bir IP adresinden gelen çok sayıda SYN paketini veya ICMP flood saldırısını tespit edebilirsiniz.

Tcpdump Alternatifleri ve Karşılaştırması

Tcpdump, güçlü bir araç olmasına rağmen, bazı durumlarda alternatiflere ihtiyaç duyulabilir. İşte bazı yaygın Tcpdump alternatifleri ve karşılaştırması:

Araç	Açıklama	Artıları	Eksileri
Wireshark	Grafik arayüzlü bir paket analiz aracıdır.	Kullanımı kolay, gelişmiş filtreleme ve analiz özellikleri, çeşitli protokolleri destekler.	Tcpdump'tan daha fazla kaynak tüketir, komut satırı esnekliği yoktur.
Tshark	Wireshark'ın komut satırı versiyonudur.	Wireshark'ın tüm özelliklerine sahiptir, komut satırı esnekliği sağlar.	Öğrenme eğrisi biraz daha diktir.
tcpflow	TCP akışlarını yeniden oluşturur.	TCP akışlarını kolayca analiz etmeyi sağlar.	Sadece TCP trafiğini destekler.
ngrep	Paket içeriğinde kalıp arar.	Paket içeriğinde hızlı ve kolay kalıp arama sağlar.	Sadece temel filtreleme özellikleri vardır.

Tcpdump vs. Wireshark:

Tcpdump, komut satırı tabanlı bir araçtır ve daha az kaynak tüketir. Bu nedenle, uzak sunucularda veya sınırlı kaynaklara sahip cihazlarda kullanmak için idealdir.
Wireshark, grafik arayüzlü bir araçtır ve daha kullanıcı dostudur. Gelişmiş filtreleme ve analiz özelliklerine sahiptir ve çeşitli protokolleri destekler. Bu nedenle, detaylı analiz yapmak için daha uygundur.

Tcpdump ile İlgili İpuçları ve Püf Noktaları

Paket Boyutunu Sınırlamak: -s seçeneğini kullanarak yakalanacak paket boyutunu sınırlayabilirsiniz. Bu, büyük paketleri yakalarken performansı artırabilir. Örneğin, sudo tcpdump -s 64 komutu, sadece ilk 64 baytı yakalar.
Paketleri Hemen Görmek: -U seçeneğini kullanarak yakalanan paketleri hemen ekrana yazdırabilirsiniz. Bu, gerçek zamanlı analiz yapmak için kullanışlıdır.
DNS Çözümlemesini Devre Dışı Bırakmak: -n seçeneğini kullanarak DNS çözümlemesini devre dışı bırakabilirsiniz. Bu, performansı artırabilir ve DNS sunucularına yapılan gereksiz sorguları engelleyebilir.
Birden Fazla Filtreyi Birleştirmek: Filtreleri birleştirirken parantez kullanabilirsiniz. Örneğin, sudo tcpdump '(port 80 or port 443) and host 192.168.1.100' komutu, 80 veya 443 portuna gelen ve 192.168.1.100 adresinden gelen trafiği yakalar.
Büyük Paket Yakalama Dosyalarını Bölmek: Büyük paket yakalama dosyalarını (pcap dosyaları) daha küçük parçalara bölmek için tcpdump -w seçeneğini kullanırken -G ve -W seçeneklerini kullanabilirsiniz. Örneğin, sudo tcpdump -w capture_%Y%m%d_%H%M%S.pcap -G 3600 -W 1 komutu, her saat başı yeni bir pcap dosyası oluşturur.

Tcpdump'ta Karşılaşılan Yaygın Sorunlar ve Çözümleri

"Permission denied" Hatası: Tcpdump'ı çalıştırmak için yeterli yetkiniz yoksa bu hatayı alırsınız. Tcpdump'ı root veya sudo yetkileriyle çalıştırmanız gerekir.
"tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes" Mesajı Takılı Kalması: Bu, tcpdump'ın doğru arayüzü dinlemediği anlamına gelebilir. -i seçeneğini kullanarak doğru arayüzü belirtmeniz gerekir.
Çok Fazla Çıktı: Tcpdump, çok fazla çıktı üretebilir. Filtreler kullanarak çıktıyı sınırlamanız gerekir.
Yanlış Filtreler: Filtreler doğru yazılmazsa, tcpdump istediğiniz trafiği yakalamayabilir. Filtre sözdizimini dikkatlice kontrol etmeniz gerekir.
Paket Kaybı: Ağ trafiği çok yoğunsa, tcpdump bazı paketleri kaçırabilir. Bu durumda, daha güçlü bir donanım kullanmanız veya paket boyutunu sınırlamanız gerekebilir.

Sonuç

Tcpdump, ağ trafiğini analiz etmek ve sorunları gidermek için güçlü ve çok yönlü bir araçtır. Bu makalede, tcpdump'ın temel kavramlarını, kullanımını ve yaygın sorunlarını ele aldık. Umarım bu bilgiler, tcpdump'ı etkin bir şekilde kullanmanıza yardımcı olur.