tcpdump是Linux下强大的网络抓包工具，用于故障排查与性能分析，支持按接口、协议、端口等条件过滤数据包，常用参数包括-i指定网卡、-n不解析主机名、-w保存抓包文件、-r读取文件、-c限制数量、-s设置捕获长度，结合过滤表达式可精准捕获如HTTP、HTTPS、SSH等流量，建议生产环境使用sudo提权并配合-w保存文件以避免性能问题，通过-v增加详细度，利用and/or/not组合条件实现精细过滤，最终可结合Wireshark或tcpdump -r分析内容，是运维开发必备技能。
在Linux系统中，tcpdump 是一个非常强大的命令行网络抓包工具，常用于网络故障排查、安全分析和性能调优。它能够捕获经过网络接口的数据包，并以可读格式显示其内容。掌握常用参数可以显著提升分析效率。
1. 基本语法与常用选项
tcpdump 的基本语法如下：
tcpdump [选项] [过滤表达式]常见参数说明：
- -i interface：指定监听的网络接口，如 -i eth0 或 -i any（监听所有接口）
- -n：不解析主机名、端口名，直接显示IP和端口号，加快输出速度
- -nn：不解析协议名（如TCP/UDP）和端口，显示数字形式
- -v, -vv, -vvv：增加输出的详细程度，v越多信息越详细
- -c count：限制捕获的数据包数量，例如 -c 10 只抓10个包
- -s snaplen：设置每个数据包捕获的字节数，默认65535字节，-s 0 表示抓完整包
- -w file：将抓包结果保存到文件，供Wireshark等工具后续分析
- -r file：读取之前保存的抓包文件进行分析
2. 常见抓包场景与过滤表达式
tcpdump 支持丰富的过滤语法，可按主机、端口、协议等条件筛选数据包。
按主机过滤：
- tcpdump -i eth0 host 192.168.1.100：只抓与该IP通信的包
- tcpdump host 192.168.1.100 and port 80：抓该IP且端口80的流量
按协议过滤：
- tcpdump -i eth0 tcp：只抓TCP协议包
- tcpdump udp：抓UDP包
- tcpdump icmp：抓ICMP（ping）包
按端口过滤：
- tcpdump -i eth0 port 80：抓80端口的流量
- tcpdump port 443：抓HTTPS流量
- tcpdump src port 22：只抓源端口为22（SSH）的包
组合条件（and/or/not）：
- tcpdump host 192.168.1.100 and not port 22：排除SSH流量
- tcpdump tcp and host 10.0.0.5 and \( port 80 or port 443 \)：抓指定IP的HTTP/HTTPS流量
3. 实际使用建议
在生产环境中使用 tcpdump 时，注意以下几点：
- 普通用户可能无法执行抓包，需使用 sudo 提权
- 长时间抓包建议使用 -w filename.pcap 保存，避免终端刷屏
- 抓包文件可用 Wireshark 打开：wireshark filename.pcap
- 避免在高流量接口上无过滤抓包，防止性能影响或文件过大
- 使用过滤表达式尽量精确，减少无关数据干扰
4. 示例：抓取HTTP请求并保存分析
抓取所有发往80端口的TCP包，保存为文件：
sudo tcpdump -i eth0 -nn -s 0 -v -w http.pcap 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)>2)) != 0)'说明：该命令过滤出非空载荷的HTTP包（排除ACK等空数据包），便于后续分析请求内容。
之后可用以下命令查看部分内容：
tcpdump -r http.pcap -A | grep -i "get\|host"基本上就这些。熟练掌握 tcpdump 参数和过滤语法，能快速定位网络问题，是运维和开发人员的必备技能。不复杂但容易忽略细节，建议结合实际环境多练习。
