Ещё, тем у кого не работает: Попробуйте после настройки сначала вручную зайти на машину UNL по SSH:

 $ ssh root@<UNL-IP>       -i ~/.ssh/unl.pem
 $ ssh root@<UNL-HOSTNAME> -i ~/.ssh/unl.pem

При первом заходе ssh спросит, добавлять ли идентификации хоста (для HOSTNAME и для IP это нужно сделать отдельно). Естественно, добавляем. При последующих заходах, после выполнения этих команд вы должны сразу же оказываться в консоли рута машины UNL. Важно, чтобы при этом у SSH не возникало никаких дополнительных вопросов (предложения ответит yes/no). Если вопросы возникают, значит вместо того, чтобы молча соединиться, запустить tcpdump и создать к нему пайп для Wireshark, ssh ждёт ввода ответа, соответственно, пайп от tcpdump автоматически не создаётся, и при попытке что-нибудь закапчить, Wireshark запустится, но выдаст ошибку "end of pipe magic".

Например, если по каким-то причинам сохранённые идентификации машины по HOSTNAME или по IP будут отличаться в файле ~/.ssh/known_hosts с теми, что приходят от хоста по факту, то у ssh будут возникать вопросы при каждой попытке зайти на хост, поэтому капча работать не будет.
В этом случае нужно удалить оба идентификатора (для HOSTNAME и для IP) из файла ~/.ssh/known_hosts, и снова зайти вручную по ssh на HOSTNAME и на IP, согласившись принять ключи:
 $ ssh-keygen -R <UNL-IP>
 $ ssh-keygen -R <UNL-HOSTNAME>
 $ ssh root@<UNL-IP> -i ~/.ssh/unl.pem
 $ ssh root@<UNL-HOSTNAME> -i ~/.ssh/unl.pem

Признаком, что всё хорошо работает, является успешный запуск капчи командами:
 $ wireshark -k -i <(ssh root@<UNL-IP> -i ~/.ssh/unl.pem -p 22 'tcpdump -i vunl2_0_16 -U -w -')
 $ wireshark -k -i <(ssh root@<UNL-IP> -i ~/.ssh/unl.pem -p 22 'tcpdump -i vunl2_0_16 -U -w -')

Какой именно интерфейс захватывать (vunl2_0_16), можно посмотреть в веб-интерфейсе UNL — при попытке закапчить интерфейс, его идентификатор будет виден в URL после имени хоста и слэша.