必须同时满足权限、接口、输出路径和格式四要素：sudo执行、-i指定可用网卡、-w后接.pcap后缀路径、目标目录有写权限；推荐加-s 0、-n -nn确保完整性和解析准确性。
要让tcpdump把实时捕获的网络流量完整存成标准PCAP文件，供Wireshark或tshark后续打开分析，必须同时满足权限、接口、输出路径和格式四个硬性条件，缺一不可。
基础保存：四要素缺一不可
第一步：用sudo执行命令，普通用户无权访问网卡驱动，不加sudo会直接报“You don’t have permission to capture”错误。
第二步：用-i指定真实可用的网卡名，比如eth0、ens33或lo（本地回环必须用lo），先运行sudo tcpdump -D列出所有接口，确认目标接口状态为UP（用ip link show检查）。
第三步：用-w后接带.pcap后缀的绝对或相对路径，例如-w ./capture.pcap；后缀必须是.pcap、.cap或不加后缀，写成.log或.pcapng会导致Wireshark打不开。
第四步：确保目标目录有写入权限且磁盘空间充足，否则抓包中途静默失败，文件可能为空或损坏。
推荐加固参数：避免分析失效
默认参数下抓出来的包极易导致后续分析出错——HTTP头被截断、TLS握手字段丢失、端口显示成http而非80、DNS解析拖慢甚至卡死。
方法一：加-s 0强制捕获每个包全部字节，绕过默认68字节截断限制。不加的话，JSON响应体、证书信息、TCP选项全丢，根本看不出业务逻辑。
方法二：加-n -nn禁用所有名称解析，输出纯IP地址（192.168.1.100）和数字端口（443），既提速又防干扰。这一步在生产环境属于必选项。
方法三：组合使用，例如sudo tcpdump -i eth0 -s 0 -n -nn -w /tmp/full.pcap port 443，精准捕获HTTPS流量且保证完整性。
按需控制抓包行为
抓固定数量：加-c 1000，抓满1000个包自动退出，适合快速验证过滤表达式是否生效。
抓固定时长：用timeout命令包裹，例如timeout 120 sudo tcpdump -i eth0 -w /tmp/2min.pcap，超时后自动终止并保存文件。
滚动保存防爆盘：用-C 50 -W 5 -w log.pcap，表示每50MB切一个文件，最多保留5个（log_00001.pcap → log_00005.pcap），超出后自动覆盖最旧的。
后台持续运行：加nohup和&，例如nohup sudo tcpdump -i eth0 port 80 -w /var/log/http.pcap &，关闭终端也不中断。
保存后立即验证文件有效性
用file capture.pcap确认类型，输出必须含“tcpdump capture file (little-endian)”，否则文件损坏或格式错误。
用capinfos capture.pcap查看包数、时间跨度、链路层类型（如EN10MB），若包数为0或时间范围异常，说明抓包未真正触发。
Wireshark中打开后，在Display Filter栏输入ip.addr == 192.168.1.100测试能否筛选出数据，不能则原始文件可能无效。
