В таких инструментах, как tcpdump, когда именно собираются сетевые пакеты?

Один из инструментов, которые я использую, использует шифрование / дешифрование для отправки данных по сети. Я модифицирую инструмент, и мне нужно быть уверенным, что данные действительно отправляются в зашифрованном виде.

Подходят ли Wireshark и tcpdump для этой цели? В какой момент во время передачи они захватывают сетевые пакеты?