Linux中抓取本地回环接口（lo）数据包需显式指定-i lo参数，如tcpdump -i lo实时打印流量、tcpdump -i lo -w file.pcap保存为pcap供Wireshark分析，并建议加-s0避免截断。
Linux 中用 tcpdump 抓取本地回环接口（lo）的数据包，核心就是明确指定 -i lo 参数。回环接口用于本机进程间通信（如 localhost:8080、127.0.0.1 上的服务），默认不会出现在常规抓包中，必须显式指定。
直接指定 lo 接口抓包
这是最常用也最可靠的方式：
- tcpdump -i lo：实时打印所有回环流量（含 HTTP、Redis、数据库本地连接等）
- tcpdump -i lo -n -nn port 8080：只抓本机 8080 端口的通信，禁用域名和端口名解析，提升可读性
- tcpdump -i lo -w /tmp/loopback.pcap：将原始包保存为 pcap 文件，后续可用 Wireshark 分析
- tcpdump -i lo -s0 -w /tmp/full.pcap：加 -s0 确保捕获完整数据包（避免截断，默认只取前 68 字节）
确认 lo 接口是否可用
执行 ip link show lo 或 ifconfig lo，确保状态为 UP。正常 Linux 系统该接口始终存在且启用。若无输出或显示 DOWN，需检查系统基础网络配置。
常见过滤技巧（针对回环流量）
回环通信多为本地服务调用，结合协议和端口过滤更高效：
- tcpdump -i lo tcp port 6379：只抓 Redis 的 TCP 流量
- tcpdump -i lo udp port 53：抓本机 DNS 查询（如 systemd-resolved）
- tcpdump -i lo host 127.0.0.1 and port 3306：精准匹配 MySQL 本地连接
- tcpdump -i lo 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0'：抓 SYN/FIN 握手与断连行为，排查连接建立问题
注意事项
不依赖额外工具或路由欺骗，纯内核层面支持。无需 root 权限也能运行（但部分低权限环境可能受限，建议用普通用户测试；如遇 permission denied，加 sudo 即可）。Wireshark 在 Linux 下同样支持选择 lo 接口，操作逻辑一致。
