tcpdump是Linux下最常用且功能强大的命令行抓包工具，支持通过选项和过滤表达式捕获、分析网络流量。其基本语法为tcpdump [选项] [过滤表达式]，常用选项包括-i指定接口、-n/-nn不解析主机名和端口名、-v增加详细输出、-c限制抓包数量、-s设置捕获长度、-w保存数据到文件、-r读取文件分析。典型使用场景有监听指定网卡、按IP或端口过滤、协议筛选（如TCP/UDP/ICMP）、组合条件抓包（如host与port结合），并可通过-w将流量保存为pcap文件供Wireshark分析，或用-r回放。实际使用建议配合sudo提权、加过滤避免性能影响，利用单引号包裹复杂表达式防shell解析错误，结合grep等工具进一步处理输出，是网络排查、安全分析和性能调优的核心工具。
在Linux系统中抓包，最常用且功能强大的工具就是tcpdump。它是一个命令行网络抓包和分析工具，能够捕获经过网卡的数据包，并根据条件过滤、显示或保存数据，广泛用于网络故障排查、安全分析和性能调优。
一、tcpdump基本语法
tcpdump 的基本命令格式如下：
tcpdump [选项] [过滤表达式]其中，过滤表达式用于指定要捕获的数据包类型，比如基于IP、端口、协议等。
二、常用选项说明
掌握以下常用参数，能大幅提升使用效率：
- -i interface：指定监听的网络接口，如 eth0、wlan0。使用 -i any 可监听所有接口。
- -n：不解析主机名，直接显示IP地址，加快输出速度。
- -nn：不解析主机名和端口名（如将http显示为80），输出更简洁。
- -v, -vv, -vvv：增加输出的详细程度，v越多信息越详细。
- -c count：只捕获指定数量的数据包后自动停止。
- -s snaplen：设置每个数据包捕获的字节数，默认通常为262144字节，-s 0 表示捕获完整包。
- -w file：将捕获的数据包保存到文件，供后续用 tcpdump 或 Wireshark 分析。
- -r file：读取之前保存的抓包文件进行分析。
三、常见使用场景与示例
以下是实际工作中常用的几种抓包方式：
1. 监听指定网卡的流量tcpdump -i eth0
监听 eth0 接口上的所有数据包。
2. 不解析IP和端口，提高速度tcpdump -i eth0 -nn
避免DNS反向解析和端口名称转换，适合快速查看原始通信。
3. 只抓取特定主机的流量tcpdump -i eth0 host 192.168.1.100
仅捕获与该IP通信的数据包，双向都包括。
4. 抓取指定源或目标IPtcpdump -i eth0 src 192.168.1.100
只抓源IP为 192.168.1.100 的包。
tcpdump -i eth0 dst 192.168.1.200
只抓目标IP为 192.168.1.200 的包。
5. 按协议抓包tcpdump -i eth0 tcp
只抓TCP协议的数据包。
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
tcpdump -i eth0 udp
只抓UDP包。
tcpdump -i eth0 icmp
抓ICMP包（如ping）。
6. 按端口过滤tcpdump -i eth0 port 80
捕获所有涉及80端口的流量（HTTP）。
tcpdump -i eth0 src port 53
源端口为53的包（DNS查询）。
7. 组合条件抓包tcpdump -i eth0 host 192.168.1.100 and port 22
抓取IP为192.168.1.100且使用22端口（SSH）的流量。
tcpdump -i eth0 'tcp port 443 and host 10.0.0.5'
抓取访问10.0.0.5的HTTPS流量。
8. 保存抓包数据到文件tcpdump -i eth0 -nn -s 0 -w /tmp/capture.pcap
将完整数据包写入文件，可用于Wireshark打开分析。
9. 从文件读取分析tcpdump -r /tmp/capture.pcap -nn
读取之前保存的pcap文件并按原样显示。
四、实用技巧与注意事项
- 普通用户运行 tcpdump 可能权限不足，建议使用 sudo tcpdump 提权执行。
- 生产环境抓包时，尽量加过滤条件，避免日志爆炸或影响性能。
- 结合 grep 或重定向可进一步处理输出，例如：
tcpdump -i eth0 -nn port 80 | grep "192.168.1.1" - 长时间抓包建议限制大小或数量，如配合 -c 100 防止磁盘占满。
- Wireshark 图形化分析 pcap 文件更直观，tcpdump 抓包 + Wireshark 分析是常见组合。
基本上就这些。tcpdump 虽然命令多，但掌握核心选项和过滤语法后，日常排查网络问题非常高效。不复杂但容易忽略的是过滤表达式的书写顺序和引号使用，注意用单引号包裹复杂表达式避免shell解析错误。
