tcpdump是Linux下核心的网络抓包工具，通过命令行捕获网卡数据包，支持接口选择、过滤表达式和文件读写。使用sudo tcpdump -i eth0可监听指定接口，默认输出简要信息；结合-n、-c、-s 0、-w等选项能提升效率，如sudo tcpdump -i eth0 -n -c 10 -s 0 -w capture.pcap抓取前10个完整数据包并保存。通过host、net、port、协议等条件可精确过滤流量，例如sudo tcpdump -i eth0 'tcp and port 80'仅捕获80端口TCP流量。使用-r读取pcap文件，配合-nnvv和-A可详细分析内容，如tcpdump -r capture.pcap -A | grep "GET"提取HTTP请求。虽功能强大，但需避免生产环境长时间全量抓包以防性能影响与信息泄露。

分析网络流量是排查网络问题、监控服务通信和排查安全事件的重要手段。在Linux系统中，tcpdump是最常用的数据包捕获工具之一，它能直接从网卡抓取原始数据包，并以可读格式输出，帮助我们深入理解网络行为。

一、Tcpdump基础用法

tcpdump通过命令行运行，需要具备一定的权限（通常需root或sudo）才能访问网络接口。最基本的抓包命令如下：

其中 -i eth0 指定监听的网络接口（如eth0、ens33、wlan0等），若不确定接口名称，可用 ip a 或 ifconfig 查看。

执行后会持续输出经过该接口的数据包，按 Ctrl+C 停止抓包。默认情况下，tcpdump只显示简要信息，包括时间戳、源地址、目标地址、协议和部分协议数据。

二、常用选项提升抓包效率

实际使用中，通常结合多种选项缩小范围，避免输出过多无用信息：

• -n：不解析主机名，直接显示IP地址，加快输出速度
• -c N：只抓取N个数据包后自动停止
• -s 0：捕获完整数据包（最大长度65535字节），避免截断
• -w file.pcap：将抓包结果保存到文件，供后续分析
• -r file.pcap：读取已保存的pcap文件进行分析

例如，抓取前10个经过eth0的IP包并保存到文件：

三、使用过滤表达式定位特定流量

tcpdump支持强大的过滤语法，可在抓包时筛选目标流量，减少干扰：

• 按主机过滤：host 192.168.1.100
• 按网络过滤：net 192.168.1.0/24
• 按端口过滤：port 80 或 portrange 80-8080
• 按协议过滤：tcp、udp、icmp
• 组合条件：可用 and、or、not 连接多个条件

示例：抓取访问本机80端口的TCP流量：

再比如，排除ARP和DNS流量，专注于HTTP通信：

四、分析抓包文件辅助排错

保存的pcap文件可以用tcpdump回放查看，也可用Wireshark等图形工具打开做更深入分析。

用tcpdump读取文件并以详细模式显示：

其中 -vv 提供更详细的协议解析信息，-nn 禁止解析主机名和端口名。

结合grep进一步筛选内容也很常见，例如找出所有包含"GET"的HTTP请求：

-A 以ASCII格式打印数据包内容，适合查看文本协议如HTTP、FTP等。

基本上就这些。掌握tcpdump的核心用法后，就能快速诊断连接失败、服务无响应、异常外联等问题。虽然功能强大，但要注意避免在生产环境长时间全量抓包，以免影响性能或泄露敏感信息。