Passos:

1 > Tenha configurado o acesso ssh com base em chaves, para não precisar digitar senha ao logar no host remoto
2 > Instale o tshark ou tcpdump na maquina remota e o wireshark na máquina local
3 > Execute os seguintes comandos na maquina local:

mkfifo /tmp/shark
ssh remotehost sudo tshark -i eth1 -w - > /tmp/shark &
wireshark -k -i /tmp/shark

Voiala, todo o trafego passando na eth1 do host remoto estara aparecendo no wireshar.
Você pode especificar filtros como no tcpdump após o eth1.

–

Se preferir você pode usar o tcpdump ao invés no tshark, da seguinte forma:

tcpdump -i eth2 -n -vvvv -tttt -x -w -

Abraços e boa snifada.