Beim Sniffen im Netz hat man oft das Problem, dass man selbst nicht an der Console sitzt und somit ein Loop entsteht (eigener SSH-Traffic wird auch gesnifft). Man kann den Host von dem aus man connected, auch aus dem Sniffen ausschliessen.

Beispiel:

Ich bin auf dem System amanda.rowi.net und connecte mich (per SSH, egal) auf linda.rowi.net. Auf linda.rowi.net möchte ich nun allen Traffic sniffen, aber eben nicht meine SSH-Session zwischem amanda.rowi.net und linda.rowi.net.

tcpdump ip host linda.rowi.net and not amanda.rowi.net

Statt linda.rowi.net lässt sich nicht localhost einsetzen, da dann nur auf dem lokalen Interface geschaut wird (127.0.0.1)!

Will man die Inhalte der Pakete in ASCII anzeigen (nützlich z.B. beim Sniffen von SIP-Paketen, dann stellt man dem tcpdump einfach ein -X an, also komplett so:

tcpdump -X ip host linda.rowi.net and not amanda.rowi.net

Das Ganze funktioniert natürlich auch mit IP-Adressen. So sollte es gehen :-).