Cara Memakai tcpdump untuk Melacak Masalah Jaringan

tcpdump adalah alat baris perintah untuk melihat paket jaringan yang masuk dan keluar dari server secara langsung. Ketika aplikasi bilang "tidak bisa konek" dan semua pihak saling menyalahkan, tcpdump memberi jawaban yang tidak bisa dibantah: paketnya sampai atau tidak.

Kenapa ini penting? Karena banyak masalah jaringan terlihat sama dari luar. Firewall yang memblokir, aplikasi yang tidak mendengarkan, rute yang salah, atau DNS yang lambat, semuanya berujung pada pesan timeout. Dengan melihat paket, kamu bisa tahu di sisi mana masalahnya berada dalam beberapa menit.

Bagaimana memasang dan memulai tcpdump?

Di kebanyakan distro, tcpdump tersedia di repository resmi:

sudo apt install tcpdump      # Ubuntu, Debian
sudo dnf install tcpdump      # AlmaLinux, Rocky Linux

Lihat daftar antarmuka yang bisa dipantau:

sudo tcpdump -D

Lalu tangkap beberapa paket pertama untuk memastikan semuanya jalan:

sudo tcpdump -i eth0 -nn -c 20

-i memilih antarmuka (pakai any untuk semua), -nn mematikan penerjemahan alamat ke nama host dan port ke nama layanan, dan -c 20 berhenti setelah 20 paket. Opsi -nn penting di server sibuk, karena tanpa itu tcpdump melakukan pencarian DNS untuk setiap alamat dan hasilnya jadi lambat.

Filter apa yang paling sering dipakai?

Tanpa filter, tcpdump di server produksi akan membanjiri layar, apalagi kalau kamu sendiri sedang login lewat SSH. Filter ditulis di akhir perintah dengan sintaks pcap-filter.

Filter bisa digabung dengan and, or, dan not, serta dikelompokkan dengan tanda kurung. Bungkus filter yang mengandung kurung atau tanda khusus dengan tanda kutip tunggal agar tidak diproses shell.

Contoh kasus nyata yang sering muncul

Website tidak bisa diakses dari luar

Jalankan di server, lalu minta rekanmu membuka website:

sudo tcpdump -i any -nn 'tcp port 443 and tcp[tcpflags] & tcp-syn != 0'

Cara membacanya:

• Tidak ada paket sama sekali: permintaan tidak sampai ke server. Masalahnya di DNS, firewall penyedia, atau rute di luar server.
• Ada SYN masuk tapi tidak ada SYN-ACK keluar: paket sampai, tapi ditolak atau diabaikan di server. Periksa firewall lokal dan pastikan ada proses yang mendengarkan di port itu dengan ss -tlnp.
• SYN-ACK keluar dan koneksi terbentuk: jaringan sehat, masalahnya ada di aplikasi atau TLS.

Untuk menguji dari sisi luar, cek port terbuka dengan Nmap adalah pasangan yang pas.

Server tidak bisa mengirim email

sudo tcpdump -i any -nn 'tcp port 25 or tcp port 587'

Kalau paket SYN keluar ke port 25 tetapi tidak pernah ada balasan, besar kemungkinan port keluar itu diblokir oleh penyedia. Ini umum di banyak layanan cloud untuk mencegah spam, dan solusinya biasanya meminta pembukaan port atau memakai relay di port 587.

Aplikasi lambat karena DNS

sudo tcpdump -i any -nn udp port 53

Perhatikan jarak waktu antara query dan jawabannya. Kalau satu query baru dijawab setelah beberapa detik, atau sama sekali tidak dijawab lalu diulang, resolver yang dipakai server patut dicurigai. Dasar-dasar resolver dan record dibahas di panduan jaringan server.

Koneksi tiba-tiba terputus

Kalau pengguna melaporkan koneksi yang putus di tengah jalan, cari paket reset:

sudo tcpdump -i any -nn 'tcp[tcpflags] & tcp-rst != 0 and port 443'

Paket RST berarti salah satu pihak menutup koneksi secara paksa. Lihat arah paketnya. RST yang keluar dari server biasanya datang dari aplikasi yang crash, batas koneksi yang tercapai, atau port yang tidak lagi didengarkan. RST yang datang dari luar bisa berasal dari klien, load balancer, atau perangkat jaringan di tengah jalan yang memutus koneksi menganggur terlalu lama.

Melihat isi permintaan HTTP biasa

sudo tcpdump -i any -nn -A 'tcp port 80'

Opsi -A menampilkan isi paket sebagai teks. Ini hanya berguna untuk lalu lintas yang tidak dienkripsi. Untuk HTTPS, kamu hanya akan melihat data acak, dan itu memang tujuan enkripsi.

Bagaimana menyimpan hasil ke file pcap?

Untuk analisis yang lebih nyaman, simpan tangkapan ke file lalu buka di Wireshark di laptop:

sudo tcpdump -i any -nn -w /tmp/tangkap.pcap 'port 443'

Baca kembali file itu di server dengan tcpdump -nn -r /tmp/tangkap.pcap. Untuk penangkapan yang lama, pakai rotasi berkas agar disk tidak penuh:

sudo tcpdump -i any -nn -w /tmp/tangkap.pcap -C 100 -W 5 'port 443'

-C 100 membuat file baru setiap sekitar 100 juta byte, dan -W 5 membatasi jumlahnya lima file yang dipakai bergantian.

Tips agar tcpdump tidak membebani server

• Selalu pakai filter yang sempit dan -c atau batas waktu, jangan dibiarkan berjalan tanpa batas.
• Gunakan -nn agar tidak ada pencarian DNS tambahan.
• Kalau hanya butuh header, batasi jumlah byte per paket dengan -s, misalnya -s 128.
• Jalankan di dalam tmux atau screen agar penangkapan tidak berhenti saat SSH terputus.