Chapitre 1 · Leçon 2
Inspecter les paquets réseau en temps réel
Wireshark est l'analyseur de protocoles réseau le plus utilisé. Il capture et affiche le contenu de chaque paquet sur le réseau — indispensable pour comprendre les protocoles et diagnostiquer les problèmes.
snippet.bash
1# Filtres de capture (avant la capture)
2tcp port 80 # Seulement le trafic HTTP
3tcp port 443 # Seulement le trafic HTTPS
4host 8.8.8.8 # Trafic vers/depuis cette IP
5udp port 53 # Seulement le DNS
6
7# Filtres d'affichage (après la capture)
8http # Tous les paquets HTTP
9http.request.method == "POST"
10http.response.code == 404
11ip.addr == 192.168.1.1 # IP source OU destination
12ip.src == 192.168.1.1 # Seulement source
13tcp.port == 3000 # Port TCP
14dns # Requêtes et réponses DNS
15dns.qry.name contains "usher"
16
17# Filtres avancés
18http && ip.src == 192.168.1.100 # HTTP depuis cette IP
19tcp.flags.syn == 1 && tcp.flags.ack == 0 # Seulement les SYN (début de connexion)
20!(arp || dns || icmp) # Exclure le bruit réseau
21
22# Depuis la ligne de commande (tcpdump — disponible sur tous les Linux)
23sudo tcpdump -i eth0 -n port 80
24sudo tcpdump -i eth0 -n host 8.8.8.8 -w capture.pcap # sauvegarder
25sudo tcpdump -r capture.pcap # lire une captureSur un VPS en production, Wireshark n'est pas disponible. Utilise tcpdump pour capturer et scp pour transférer le fichier .pcap sur ta machine locale où tu peux l'ouvrir avec Wireshark.
Comprendre TCP/IP, les adresses IP et les ports te permet de diagnostiquer n'importe quel problème réseau. Quand une API ne répond pas, savoir si le problème est au niveau TCP (connexion refusée), DNS (nom non résolu), ou HTTP (erreur 500) divise par 10 le temps de debug.