tshark leído línea a línea

En tshark los dos filtros del módulo siguen existiendo, y se distinguen por la letra. -f es el filtro de captura, con sintaxis de libpcap, y actúa mientras se graba. -Y es el filtro de visualización: se aplica antes de imprimir los paquetes ya decodificados o de escribirlos a un archivo, con la sintaxis de campos del analizador. Para leer un archivo existente se usa -r seguido de su nombre.

Esto es lo que hay que comprobar al revisar una orden ajena: si usa -r, es solo lectura y no puede perder nada; si graba con -f, lo que no cumpla no llegará al archivo.

-T fields cambia el formato de salida a texto en columnas, y cada -e añade un campo. Así, una sola línea de orden reproduce lo que en la ventana serían cuatro columnas añadidas a mano: el tiempo relativo, la dirección de origen, el nombre consultado y el código de respuesta.

Es el formato ideal para buscar por texto, ordenar o cruzar con otra lista, porque cada fila es un paquete y cada columna un dato. En la tabla ordenes está la orden O-1 y en salida_fields, lo que escribió.

Las estadísticas de la ventana tienen su equivalente en la línea de órdenes con la opción -z, que viene acompañada del tipo de estadística. -z io,phs escribe la jerarquía de protocolos con paquetes y bytes. -z conv,tcp escribe la tabla de conversaciones TCP. -z endpoints,ip lista los extremos IPv4. -z follow,tcp,ascii,N escribe el contenido de la conversación número N.

Con -q se suprime la impresión de cada paquete y queda solo la tabla pedida; sin él, la tabla sale al final, detrás de miles de líneas.

La orden O-2 imprime una fila por conversación TCP, con las dos direcciones pegadas a sus puertos: el puerto de la izquierda es efímero, asignado por el sistema del cliente, y el de la derecha es el del servicio. Los puertos de servicio suelen ser conocidos —443 para la web cifrada, 8080 para una aplicación web interna—, y uno que no encaja con los habituales del resto de filas merece una anotación.

Lo que se pide es el puerto del servidor en la conversación que movió más bytes en total.

Una salida de campos es un archivo de texto que se archiva junto al informe, se versiona, se compara con la de la semana anterior y se vuelve a producir con la misma orden sobre el mismo archivo y el mismo resultado. Eso se llama repetibilidad, y es lo que da fuerza a una evidencia: otra persona puede comprobar que lo que escribiste es lo que dice el archivo.

La captura original sigue siendo la fuente. El texto es una vista de ella, y por eso se anota siempre qué orden la produjo y sobre qué archivo.