# Construtor de tcpdump para BIG-IP > Monta um comando tcpdump correto para o BIG-IP a partir de opções estruturadas: a sintaxe de interface da TMM, o nível de detalhe de fluxo, o snaplen, a gravação em arquivo e um filtro BPF. Ele formata o comando para você executar; não captura nada. - Tool: https://ronutz.com/pt-BR/tools/f5-bigip-tcpdump-builder - Family: Redes --- ## O que faz Monte um comando `tcpdump` correto para um F5 BIG-IP a partir de opções estruturadas: a interface (na sintaxe própria do BIG-IP), quanto detalhe de fluxo da TMM incluir, o comprimento de captura (snaplen), se deve gravar um arquivo de captura e um filtro BPF. A ferramenta formata o comando para você copiar e executar no equipamento; ela mesma não captura nada e não contata nenhum equipamento. ## Por que o tcpdump do BIG-IP é diferente Em um BIG-IP, o `tcpdump` roda contra o Traffic Management Microkernel (TMM), e o argumento de interface é onde ele se afasta do tcpdump comum. Duas particularidades do BIG-IP importam mais: - **A interface `0.0`** significa todas as interfaces de dados da TMM de uma vez. É poderosa para descobrir por onde o tráfego está (ou não está) fluindo, mas não é limitada em taxa, então um filtro é essencial para não sobrecarregar a captura. - **O sufixo de detalhe `:n`** controla quanta informação interna da TMM cada linha de pacote carrega, e essa é a parte que as pessoas mais erram. ## O sufixo de detalhe e o erro a evitar Acrescentar um sufixo à interface aumenta o nível de "ruído": - **`:n`** (baixo) adiciona o nome do virtual server, a interface e a direção. - **`:nn`** (médio) adiciona detalhes de fluxo. - **`:nnn`** (alto) adiciona o IP e a porta dos dois lados do BIG-IP, para você acompanhar uma única conexão através do proxy. Um **`p`** ao final (como em `:nnnp`, ou apenas `:p`) captura os dois lados do proxy de uma vez: o fluxo cliente-para-BIG-IP e o fluxo BIG-IP-para-membro-do-pool. O erro clássico é confundir esse sufixo de interface `:n` com a flag de linha de comando `-n`, que faz algo totalmente diferente (desativa a resolução de nomes). São coisas separadas, e a ferramenta as modela separadamente para que você não as confunda. ## Como usar Escolha a interface e o nível de detalhe, defina um snaplen e um arquivo de saída se quiser, adicione um filtro BPF e copie o comando montado. Ele é construído a partir das opções da própria orientação de rastreamento de pacotes da F5 (K411 e K13637), então é o comando que um BIG-IP de fato aceitará. ## Standards and references - [F5 K411 - Overview of packet tracing with the tcpdump utility](https://my.f5.com/manage/s/article/K411) - BIG-IP tcpdump options, the 0.0 interface, snaplen, filters, file output - [F5 K13637 - Capturing internal TMM information with tcpdump](https://my.f5.com/manage/s/article/K13637) - the :n / :nn / :nnn TMM detail suffix and the :p both-sides modifier ## Related reading - [Capturando com segurança em um BIG-IP de produção](https://ronutz.com/pt-BR/learn/bigip-tcpdump-safety.md): O tcpdump em um BIG-IP toca o plano de dados e o sistema de arquivos de um dispositivo que está carregando tráfego ao vivo. Alguns hábitos, limitar a captura, observar o espaço em disco e ser deliberado quanto ao detalhe, evitam que uma captura de diagnóstico vire um incidente. - [Capturando em VLANs, self-IPs e trunks](https://ronutz.com/pt-BR/learn/capturing-on-vlans-and-trunks.md): 0.0 captura em todas as interfaces da TMM, mas às vezes você quer restringir a captura a um segmento. O BIG-IP permite indicar uma VLAN, um self-IP ou outros especificadores de interface no lugar de 0.0, e cada escolha muda o que você vê. - [Lendo uma captura do BIG-IP: o trailer da F5 no Wireshark](https://ronutz.com/pt-BR/learn/reading-a-bigip-capture.md): Uma captura feita com o sufixo de detalhe da TMM carrega bytes extras após cada pacote. Sozinho, isso parece ruído. Com o dissecador f5ethtrailer, o Wireshark transforma isso em campos legíveis que dizem exatamente como o BIG-IP tratou cada fluxo. - [Níveis de detalhe da TMM e peer flows (:n, :nn, :nnn, :p)](https://ronutz.com/pt-BR/learn/tmm-detail-and-peer-flows.md): O sufixo com dois-pontos na interface de captura do BIG-IP é a parte mais confusa e mais útil da sintaxe. Ele controla quanto metadado interno da TMM é anexado a cada pacote e se você captura um lado da conexão ou os dois. - [tcpdump no BIG-IP: como ele difere do tcpdump padrão](https://ronutz.com/pt-BR/learn/bigip-tcpdump-syntax.md): Em um BIG-IP, o tcpdump é o mesmo binário que você conhece do Linux, mas a interface em que você captura não é uma NIC. A interface especial 0.0 e os sufixos de detalhe exclusivos da F5 mudam como você monta o comando. Esta é a base para todo o resto.