http.host filter para captura de tshark

Question

Gostaria de capturar o tráfego para um nome de domínio específico. Eu tentei o seguinte filtro wireshark

http.host == 'example.com'

Funciona, mas depois de algumas horas os dados temporários ficam muito grandes, então tentei usar o tshark & capture filtros para capturar e salvar somente o tráfego que está indo para example.com

tshark -i eth0 -f "Host example.com" -w "/tmp/d.pcap"

No entanto, isso está capturando tudo.

Existe alguma maneira que eu possa capturar apenas o tráfego indo para um nome de domínio específico?

    

Answer 1

Os filtros de captura diferenciam maiúsculas de minúsculas:

tshark -i eth0 -f "host example.com" -w "/tmp/d.pcap"