В драйвере (if_cp.c) есть строка содержащая DLT_PPP ее надо заменить на DLT_NULL - tcpdump сможет работать с любым протоколом но будет не все отображать, по этой причине этот вариант не используется. Или заменить на DLT_CHDLC (или DLT_C_HDLC, что тоже самое) для протокола Cisco/HDLC. Со вторым вариантом проблемы будут при работе с протоколом PPP. Для старых версий ОС DLT_CHDLC небыло. В 4.6.2 есть.