Termux и сетевой мониторинг: сбор и анализ трафика с tcpdump, Wireshark, nmap

Termux – это полноценный терминал Linux для Android, который позволяет запускать широкий спектр сетевых инструментов прямо на мобильном устройстве. В статье мы рассмотрим, как собрать сетевой трафик с помощью tcpdump, проанализировать его в Wireshark (или tshark) и выполнить сканирование сети с помощью nmap. Все команды адаптированы под среду Termux, что делает возможным полноценный сетевой мониторинг «на ходу».

Установка Termux и необходимых пакетов

Перед началом убедитесь, что Termux установлен из официального источника (Google Play или F-Droid). Далее обновим репозитории и установим нужные инструменты.

pkg update && pkg upgrade -y
pkg install root-repo -y   # требует root‑доступ для некоторых пакетов
pkg install tcpdump nmap tshark -y   # tshark – консольный вариант Wireshark

Если у вас есть привилегированный доступ (root), можно установить tcpdump с поддержкой захвата в реальном времени. Без root‑прав захват будет ограничен, но всё равно полезен для диагностики.

Сбор трафика с помощью tcpdump

Для начала определим сетевой интерфейс. В Termux обычно используется any (все интерфейсы) или wlan0 для Wi‑Fi.

tcpdump -D   # вывести список доступных интерфейсов

Пример захвата трафика в файл capture.pcap на внешнее хранилище (путь /sdcard доступен без root):

tcpdump -i any -s 0 -w /sdcard/capture.pcap &

Параметры:

• -i any – захват со всех интерфейсов.
• -s 0 – «снимок» полного пакета (без обрезки).
• -w – запись в файл в формате pcap.
• & – запуск в фоне, чтобы терминал оставался доступным.

Остановить захват можно комбинацией Ctrl+C в терминале, где запущен процесс, либо используя pkill tcpdump.

Анализ захваченного трафика в Wireshark

Самый удобный способ – перенести файл capture.pcap на ПК и открыть в настольном Wireshark. Для быстрой проверки можно воспользоваться tshark прямо в Termux:

# Вывести первые 10 пакетов в читаемом виде
tshark -r /sdcard/capture.pcap -c 10

# Фильтрация HTTP‑трафика
tshark -r /sdcard/capture.pcap -Y "http"

Если требуется графический интерфейс на Android, можно установить Wireshark через Wireshark for Android (неофициальный) или воспользоваться удалённым просмотром через adb forward и запустить Wireshark на ПК, подключив устройство к сети.

Сканирование сети и портов с nmap

nmap – мощный сканер, позволяющий быстро получить карту открытых сервисов в локальной сети. Пример сканирования подсети 192.168.1.0/24:

nmap -sn 192.168.1.0/24   # Ping‑сканирование, определяем живые хосты

Для более детального анализа открытых портов и сервисов:

nmap -sS -sV -p 1-1000 192.168.1.42

• -sS – SYN‑сканирование (быстро и скрытно).
• -sV – определение версии сервисов.
• -p 1-1000 – сканировать порты от 1 до 1000.

Результаты сканирования удобно сохранять в XML‑формате для последующего импорта в Wireshark или другие аналитические инструменты:

nmap -sV -oX /sdcard/nmap_scan.xml 192.168.1.0/24

Комбинирование tcpdump и nmap для глубокой диагностики

Одной из типичных задач является проверка, действительно ли открытый порт обслуживается ожидаемым приложением. Для этого можно:

1. Запустить tcpdump с фильтром по целевому IP и порту.
2. Одновременно выполнить nmap сканирование того же порта.
3. Сохранить захваченный трафик и проанализировать Handshake, данные приложения.

Пример:

# Захват трафика к 192.168.1.100:80
tcpdump -i any host 192.168.1.100 and port 80 -w /sdcard/http_traffic.pcap &

# Параллельно сканируем порт 80
nmap -sS -p 80 192.168.1.100

После завершения можно открыть http_traffic.pcap в Wireshark и увидеть детали TCP‑трёхстороннего рукопожатия, HTTP‑запросов и ответов, что помогает подтвердить корректность работы сервиса.

Безопасность и правовые аспекты

Сбор и анализ сетевого трафика – мощный инструмент, но его использование должно соответствовать законодательству и политике организации. Обязательно:

• Получать согласие от владельцев сети перед запуском tcpdump или nmap.
• Хранить полученные pcap‑файлы в безопасном месте, так как они могут содержать конфиденциальные данные.
• Не использовать сканирование в публичных сетях без явного разрешения, так как это может рассматриваться как попытка несанкционированного доступа.

Заключение

Termux предоставляет полноценную Linux‑среду на Android‑устройстве, позволяя выполнять профессиональный сетевой мониторинг с помощью tcpdump, анализировать захваченные пакеты в Wireshark (или tshark) и проводить детальное сканирование сети с nmap. Комбинация этих инструментов открывает широкие возможности для диагностики, обучения и быстрого реагирования на инциденты.

Если вы хотите внедрить автоматизированный мониторинг, настроить удалённый сбор логов или провести аудит безопасности вашей инфраструктуры, команда RybinskLab готова помочь. Мы предоставляем услуги по консалтингу, настройке Termux‑решений, обучению персонала и разработке кастомных скриптов для сетевого анализа. Свяжитесь с нами, и мы превратим ваш мобильный терминал в надёжный инструмент безопасности.