как ловить пакеты tcpdump/wireshark после того, как их обработает tcp/ip стек

Что в твоём понимании значит «после обработки стеком»? Какой отличающийся от нынешнего результат ты ожидаешь увидеть?

До того, как они попадут в TCP/IP стек - это не пакеты, это просто поток данных. А стек как раз нарезает его на пакеты.

Например, увидеть собранные tcp сегменты.

wireshark это умеет

Wireshark умеет собрать сам. А автор хочет видимо посмотреть как с этим справилось ядро. Но к пакетам как таковым это мало относится.

wireshark это умеет

Я знаю что wireshark умеет, но мне хочется получить pcap с уже собранными сегментами. Если конечно это осуществимо.

Какую задачу на самом деле ты решаешь?

В принципе, ты можешь прицепиться к приложению через ptrace и смотреть, какие данные оно получает/отправляет через сокет. Но это будет уже не pcap.

Как ловить пакеты не знаю, а вот ловить наркоманов приходилось.

Какую задачу на самом деле ты решаешь?

У меня есть куча pcap-ов с TCP траффиком (в основном http и tls), где сами сообщения сгенерированные приложениями, сегментированы (ибо очень большие). Мне нужно их собрать воедино для дальнейшего анализа в Питоне. Погугли и понял, что в целом задача нетривиальная и потребует больше времени. Поэтому подумалось: а если «снять» этот трафик уже после того как он прошел через tcp/ip и соответсвенно сегменты будут собраны.

chaosreader умеет из .pcap собирать потоки/соединения

Вот такая штука ещё есть

https://github.com/aol/moloch