tcpdump
O farejador de pacotes de linha de comando — o que realmente mostra o que trafega na rede quando todas as outras teorias já se esgotaram.
De 1988, construído sobre a libpcap, que por sua vez virou a base do Wireshark e de mais uma centena de ferramentas. Os filtros usam sintaxe BPF: tcpdump -i eth0 'tcp port 443 and host 10.0.0.5'.
-w arquivo.pcap salva para análise posterior no Wireshark, que é o fluxo padrão — capturar no servidor, analisar no desktop. Está presente em todo lugar, até em imagens de container mínimas, e costuma ser o primeiro recurso quando alguém diz "mas o firewall deveria estar liberando isso".