tcpdump
El rastreador de paquetes de línea de comandos — lo que de verdad muestra qué circula por el cable cuando ya no queda ninguna otra teoría.
De 1988, construido sobre libpcap, que a su vez se convirtió en la base de Wireshark y de otras cien herramientas. Los filtros se escriben en sintaxis BPF: tcpdump -i eth0 'tcp port 443 and host 10.0.0.5'.
-w archivo.pcap lo guarda para analizarlo después en Wireshark, que es el flujo habitual — capturar en el servidor, analizar en el escritorio. Está en todas partes, incluso en las imágenes de contenedor mínimas, y suele ser lo primero a lo que se recurre cuando «pero el cortafuegos debería dejar pasar esto».