Ce document décrit bien les possibilités d'utilisation de SSH pour copier des fichiers et le tout sans SCP ou SFTP.

Pour faire un tcpdump sur une machine distante et enregistrer le fichier pcap localement :

ssh machine sudo tcpdump -s0 -n -w - | cat > /tmp/macapture.pcap

Il ne faut pas que sudo demande un mot de passe. Le fichier /tmp/macapture.pcap est enregistrer sur la machine depuis laquelle on a lancé le ssh.

Il est aussi possible d'ouvrir directement la capture dans wireshark.

ssh machine sudo tcpdump -s0 -n -w - | /usr/sbin/wireshark -k -i -