Como processar / canalizar a saída TCPDUMPs em tempo real

Se eu quiser tcpdump solicitações de DNS por clientes (em um roteador OpenWrt 10.04), então eu

root@ROUTER:/etc# tcpdump -n -i br-lan dst port 53 2>&1       
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on br-lan, link-type EN10MB (Ethernet), capture size 96 bytes
22:29:38.989412 IP 192.168.1.200.55919 > 192.168.1.1.53: 5697+ A? foo.org. (25)
22:29:39.538981 IP 192.168.1.200.60071 > 192.168.1.1.53: 17481+ PTR? 150.33.87.208.in-addr.arpa. (44)
^C
2 packets captured
3 packets received by filter
0 packets dropped by kernel

Tudo bem. Mas. Por que não posso canalizar a saída do tcpdumps em tempo real?

root@ROUTER:/etc# tcpdump -n -i br-lan dst port 53 2>&1 | awk '/\?/ {print $3}'
^C
root@ROUTER:/etc# 

Se eu despertar, etc. alguma coisa após o tcpdump, não recebo QUALQUER saída. Por que é que? Por que não consigo processar a saída do tcpdump com pipelining em tempo real? (de modo que, por exemplo: no exemplo, apenas produz a terceira coluna)

Existem soluções para isso?

Diretamente de man tcpdump

-l     Make stdout line buffered.  Useful if you want to see the data while 
       capturing it.  E.g.,

              tcpdump -l | tee dat

       or

              tcpdump -l > dat & tail -f dat

       Note that on Windows,``line buffered'' means ``unbuffered'', so that 
       WinDump will write each character individually if -l is specified.

       -U is similar to -l in its behavior, but it will cause output to be 
       ``packet-buffered'', so that the output is written to stdout at the 
       end of each packet rather than at the end of each line; this is 
       buffered on all platforms, including Windows.

Use a opção -Uem combinação com -wpara que o tcpdump grave pacotes imediatamente.

O tcpdump aparentemente está protegendo a saída quando grava em um pipe. Como não está liberando a saída para cada gravação, o sistema gravará a saída em pedaços de aproximadamente 4k bytes. Seu filtro está limitando a quantidade de itens, para que você não veja nada até que o filtro tenha gravado uma saída suficiente. Uma vez coletado o suficiente, ele será gravado em um pedaço e você deverá ver várias linhas emitidas.

Tente acionar pesquisas de DNS várias vezes e veja o que acontece então.

expecttem um unbuffercomando para enganar os comandos e assumir que eles estão gravando em um tty, para que eles não sejam armazenados em buffer.

Estou criando um wrapper de monitoramento em tempo real em torno do tcpdump que precisa ver os pacotes assim que estiverem disponíveis. Mesmo com -lalgum atraso.

O tcpdump agora possui --immediate-mode, o que resolveu esse problema para mim. Para fazê-lo funcionar, usei-o em conjunto com -l.

Veja esta resposta .