Cómo capturar un PCAP en Linux y Windows

Captura en Linux con tcpdump

Identificá la interfaz y filtrá por host y puerto. `-s 0` conserva el paquete completo y `-w` escribe el archivo sin imprimir payload en pantalla.

sudo tcpdump -i eth0 -s 0 -C 100 -W 1 -w incidente.pcap 'host 203.0.113.10 and port 443'

Guía relacionada: Cómo hacer un MTR e interpretar pérdida y latencia

Captura en Windows con Pktmon

Pktmon viene incluido en versiones modernas de Windows y genera ETL, que luego puede convertir a PCAPNG para Wireshark. Ejecutá la consola como administrador.

pktmon filter remove
pktmon filter add -p 443
pktmon start --capture --comp nics --pkt-size 0
# Reproducir el problema, luego:
pktmon stop
pktmon etl2pcap PktMon.etl --out incidente.pcapng

Reproducí, detené y documentá

Anotá horario, zona horaria, IPs, aplicación y acción exacta. Detené apenas se reproduzca la falla, verificá que el archivo abre y compartilo por un canal autorizado.

1. 01PreparáCerrá tráfico innecesario y definí filtro, interfaz, límite y destino seguro.
2. 02ReproducíIniciá la captura, ejecutá una sola vez el flujo afectado y registrá la hora.
3. 03RevisáDetené, abrí el archivo, verificá el flujo y eliminá o protegé información sensible.

Preguntas frecuentes

Fuentes

1. tcpdump manual
2. Wireshark User’s Guide — Capturing live network data
3. Microsoft Learn — Packet Monitor