tcpdump精准捕获关键在于BPF过滤表达式组合：明确“谁、跟谁、协议、端口、方向”，用host/port/tcp/src/dst/not等条件锁定目标流，配合-s 0、-w、-nn等参数确保数据完整与输出清晰。
tcpdump 要在复杂网络环境中精准捕获特定流的交互记录，关键不是“抓得多”，而是“过滤得准”——靠 BPF（Berkeley Packet Filter）表达式组合条件，把无关流量筛掉，直击目标通信。
明确你要捕获的“特定流”
先理清目标：是某台服务（如 10.20.3.25）和 API 网关（api.llm.com）之间的 HTTPS 请求？还是某个 Java 应用（源端口 48217）与数据库（目标端口 3306）的 MySQL 流量？
只有定义清楚“谁、跟谁、走什么协议、用什么端口、方向如何”，才能写出有效过滤表达式。模糊描述（比如“查那个慢的请求”）会导致抓包文件臃肿、分析困难。
用组合过滤锁定真实交互流
单靠 host 或 port 往往不够——同一 IP 可能跑多个服务，同一端口可能混着不同连接。推荐用逻辑运算符拼出精确条件：
-
指定双向通信双方 + 协议 + 端口：`tcpdump -i eth0 'host 10.20.3.25 and host api.llm.com and tcp port 443'`
-
只看客户端发起的请求（避免响应干扰）：`tcpdump -i eth0 'src host 10.20.3.25 and dst port 443'`
-
排除健康心跳、监控探针等干扰流量：`tcpdump -i eth0 'host 10.20.3.25 and not port 8081 and not icmp'`
-
抓某次具体连接（结合源/目的端口固定组合）：`tcpdump -i eth0 'src host 10.20.3.25 and src port 48217 and dst host 192.168.5.10 and dst port 3306'`
确保数据完整，避免截断或丢包
复杂环境里流量突发常见，若设置不当，tcpdump 可能漏掉关键片段：
- 加 -s 0：强制捕获每个包的全部内容，防止 TCP payload 被截断（尤其对 HTTP body、JSON 响应很重要）
- 加 -w capture.pcap：写入文件而非实时打印，避免终端缓冲区溢出或滚动丢失
- 必要时加 -c 200：限制数量，防止单次抓太久导致文件过大难分析；可配合时间窗口（如 `timeout 30s sudo tcpdump ...`）
- 用 -n -nn：跳过 DNS 和服务名解析，减少延迟，保证时间戳和地址显示稳定
验证抓包是否真命中目标流
启动后别急着切走，观察几秒输出是否符合预期：
- 看到类似
14:22:03.123456 IP 10.20.3.25.48217 > 192.168.5.10.3306: Flags [P.] 这样的行，说明已捕获到目标连接的数据段
- 若长时间无输出，检查网卡名是否正确（用 `tcpdump -D` 确认）、目标主机是否真经过该网卡、防火墙是否拦截了原始包
- 临时加 `-v` 看详细协议信息，确认 SYN、ACK、FIN 是否成对出现，判断连接是否建立成功
抓完保存为 .pcap 文件，后续用 Wireshark 打开，按 `ip.addr == X and tcp.port == Y` 再做二次筛选，配合「Follow TCP Stream」直接查看完整会话文本——这才是复杂场景下定位问题的闭环。
