tcpdump过滤网关出口流量需基于“本机发出且目标属该网关负责网段”原则，用src host 本机IP and dst net 网段精准捕获，如sudo tcpdump -i eth0 'src host 192.168.5.100 and dst net 203.0.113.0/24'。
要过滤特定网关出口流量，核心是识别“出口”在 tcpdump 中的实际含义：它不是指路由表里的默认网关 IP，而是指**从本机发出、源地址为本机、目标地址经由该网关转发的流量**。由于 tcpdump 工作在链路层，它看不到路由决策过程，只能基于数据包的原始字段（src/dst IP、MAC、接口）做匹配。因此，“网关出口流量”需拆解为两个可操作的维度：方向 + 目标网段（或下一跳 IP）。
明确网关对应的子网或目标地址范围
网关本身不直接出现在每个出站包的目标字段里——出站包的目标是远端服务器 IP，但这些包会先发给网关（即目的 MAC 是网关 MAC，目的 IP 是最终目标）。所以更可靠的方式是：确认该网关负责哪些目的网段（比如你配置了 10.20.0.0/16 走网关 10.10.1.1），然后抓取发往这些网段的包。
- 查路由表确认网段归属：ip route | grep 'via 10.10.1.1'（把 10.10.1.1 换成你的网关 IP）
- 若结果含 10.20.0.0/16 via 10.10.1.1 dev eth0，说明该网段走此网关
- 过滤命令：sudo tcpdump -i eth0 'dst net 10.20.0.0/16'
按网关 IP 作为下一跳（需配合 ARP 或 MAC 过滤）
如果你只想抓“真正发给网关设备”的帧（即二层目的 MAC 是网关的 MAC），tcpdump 可通过 ether dst 实现，但这需要先获取网关 MAC：
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 获取网关 MAC：arp -n | grep '10.10.1.1' 或 ip neigh show | grep '10.10.1.1'
- 假设得到 MAC 是 00:11:22:33:44:55，则命令为：sudo tcpdump -i eth0 'ether dst 00:11:22:33:44:55'
- 注意：该方式捕获的是所有发往该 MAC 的帧（包括 ARP、ICMP、TCP 等），且仅适用于同网段直连网关；跨 VLAN 或三层网关不适用
结合源地址 + 目标网段，排除本地环回和内网直连
避免误抓本机到同子网其他机器的流量（这类不经过网关），应限定为「本机发出 + 目标非本地子网」：
- 先查本机所在子网，例如：ip addr show eth0 | grep 'inet ' → 得到 192.168.5.100/24
- 假定网关是 192.168.5.1，它负责去往 203.0.113.0/24 的流量
- 精准过滤命令：sudo tcpdump -i eth0 'src host 192.168.5.100 and dst net 203.0.113.0/24'
- 加 -n -nn 避免解析延迟：sudo tcpdump -i eth0 -n -nn 'src host 192.168.5.100 and dst net 203.0.113.0/24'
验证是否真走该网关（辅助手段）
有时策略路由或多路径会让部分流量绕过默认网关。可用 traceroute 辅助确认：
- traceroute -n 203.0.113.10 → 观察第一跳是否为你的目标网关 IP
- 若第一跳是 192.168.5.1，则上述 dst net 过滤即有效
- 若第一跳不同，说明该目标实际走别的出口，需重新查路由
