最常见原因是网段写法错误或接口选错；tcpdump的net只支持CIDR格式，不接受通配符、范围或子网掩码，且需确认本机IP、接口及流量路径，src net与dst net行为不同，多网段须用and/or/not显式连接。
tcpdump net 192.168.1.0/24 为什么没抓到包
最常见原因是网段写法错误或接口选错。tcpdump 的 net 关键字只支持 CIDR 格式（如 192.168.1.0/24），不接受通配符、范围写法（如 192.168.1.* 或 192.168.1.0-255）或子网掩码（如 192.168.1.0/255.255.255.0）。它匹配的是 IP 层的源或目的地址，不区分方向。
执行 sudo tcpdump -i ens33 net 192.168.1.0/24 却无输出，需检查：
- 用
ip -br a确认本机是否真在该网段（比如是否是192.168.1.10/24）； - 确认流量确实经过
ens33（而非lo或桥接接口）； - 若目标主机和本机在同一网段但走的是本地回环（如容器间通信），
net过滤器不会捕获——因为回环流量目的 IP 是本机，不属于“外部网段”。
src net 和 dst net 的区别必须分清
src net 只匹配源 IP 属于该网段的数据包，dst net 只匹配目的 IP 属于该网段的包。两者行为完全不同，不能互换。
例如排查某台服务器是否正被内网扫描：
- 想看“谁在扫我”，用
sudo tcpdump -i any 'dst net 10.0.2.0/24'（假设本机 IP 是10.0.2.15）； - 想看“我在扫谁”，用
sudo tcpdump -i any 'src net 10.0.2.0/24'； - 想同时看双向，直接用
net 10.0.2.0/24，等价于src net 10.0.2.0/24 or dst net 10.0.2.0/24。
注意：逻辑运算符必须用小写 and/or/not，且整个表达式建议加单引号，避免 shell 解析空格或特殊字符。
过滤多网段时 and/or/not 组合怎么写才有效
多个网段组合不是简单拼接，必须显式用布尔逻辑连接。tcpdump 不支持逗号分隔或多参数叠加。
正确写法示例：
- 抓来自 A 网段或 B 网段的流量：
sudo tcpdump -i eth0 'src net 192.168.1.0/24 or src net 172.16.0.0/16'； - 抓发往 C 网段但**不**发往 D 网段的包：
sudo tcpdump -i eth0 'dst net 10.10.0.0/16 and not dst net 10.10.5.0/24'； - 混合协议与网段（如只抓 A 网段的 TCP 流量）：
sudo tcpdump -i any 'tcp and src net 192.168.2.0/24'。
漏掉引号、大小写错误（如写成 OR）、或把 and 当成 shell 的 &&，都会导致语法失败或过滤失效。
保存 pcap 时 net 过滤器是否影响文件体积
是的，而且影响显著。使用 net 过滤器是在内核 BPF 层完成的，匹配失败的包根本不会复制到用户空间，所以 -w capture.pcap 写入的文件只含符合条件的数据包，IO 和磁盘占用都更小。
但要注意：
- 如果网段范围过大（如
net 0.0.0.0/0），等于没过滤，文件会迅速膨胀； - 若误用
host替代net（比如host 192.168.1.0），实际只匹配单个 IP，会漏掉整个网段； -
net不支持 IPv6 网段缩写（如fd00::/8必须写全，部分老版本内核可能不识别）。
真正容易被忽略的是：网段过滤本身不保证你能看到完整会话——TCP 三次握手的第一个 SYN 包若源 IP 不在指定网段，哪怕后续 ACK 来自该网段，也会被 src net 过滤器直接丢弃。
