摘要：Tcpdump是Linux系统下最强大的网络抓包工具之一，它能够"倾倒"网络传输数据，列出经过指定网络界面的数据包文件头。这个工具在网络故障排查、安全分析、协议学习等方面都有着不可替代的作用。
Tcpdump是Linux系统下最强大的网络抓包工具之一，它能够"倾倒"网络传输数据，列出经过指定网络界面的数据包文件头。这个工具在网络故障排查、安全分析、协议学习等方面都有着不可替代的作用。
需要注意的是，执行tcpdump命令必须要有root权限，因为它需要直接访问网络接口的底层数据。
tcpdump的基本命令格式如下：
tcpdump [选项] [表达式]其中常用的选项包括：
-a：尝试将网络和广播地址转换成名称-c ：收到指定的数据包数目后停止抓包-d：把编译过的数据包编码转换成可阅读的格式-e：在每列输出上显示连接层级的文件头-i ：指定要监听的网络接口-n：不把主机的网络地址转换成名字-q：快速输出，仅列出少量传输协议信息-r ：从指定文件读取数据包数据-s ：设置每个数据包的大小-t：不显示时间戳-v：详细显示指令执行过程-w ：把数据包数据写入指定文件使用-vv参数可以获取非常详细的TCP包信息：
sudo tcpdump -vv输出示例：
tcpdump: listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes20:08:00.699777 IP (tos 0x0, ttl 64, id 27331, offset 0, flags [DF], proto TCP (6), length 152) jayce-virtual-machine.37252 > 7.177.220.60.adsl-pool.sx.cn.https: Flags [P.], cksum 0x599f (incorrect -> 0xcf9d), seq 3260573664:3260573776, ack 48952714, win 65535, length 112这个输出显示了：
时间戳：20:08:00.699777协议：IP (IPv4)TOS值：0x0TTL值：64数据包ID：27331协议类型：TCP (6)数据包长度：152字节源地址和端口：jayce-virtual-machine.37252目标地址和端口：7.177.220.60.httpsTCP标志：[P.] (PUSH标志)校验和：0x599f序列号范围：3260573664:3260573776确认号：48952714窗口大小：65535数据长度：112字节使用-c参数可以限制抓取的数据包数量：
sudo tcpdump -c 20输出示例：
tcpdump: verbose output suppressed, use -v or -vv for full protocol decodelistening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes20:08:59.409796 IP jayce-virtual-machine.35452 > _gateway.domain: 57160+ A? connectivity-check.ubuntu.com. (47)20:08:59.410035 IP jayce-virtual-machine.48539 > _gateway.domain: 64022+ AAAA? connectivity-check.ubuntu.com. (47)这个命令会捕获20个数据包后自动停止，非常适合在流量较大的网络环境中使用。
只捕获TCP协议的数据包：
sudo tcpdump tcp只捕获UDP协议的数据包：
sudo tcpdump udp捕获与特定IP地址相关的所有流量：
sudo tcpdump host 192.168.1.100捕获源地址或目标地址为特定IP的流量：
sudo tcpdump src host 192.168.1.100sudo tcpdump dst host 192.168.1.100捕获特定端口的所有流量：
sudo tcpdump port 80sudo tcpdump portrange 8000-8080捕获源端口或目标端口为特定值的流量：
sudo tcpdump src port 22sudo tcpdump dst port 443可以使用and、or、not等逻辑运算符组合多个过滤条件：
sudo tcpdump "src host 192.168.1.100 and (dst port 80 or dst port 443)"sudo tcpdump -w capture.pcap之后可以使用-r参数读取保存的文件：
sudo tcpdump -r capture.pcap在tcpdump的输出中，TCP标志位是非常重要的信息：
[S]：SYN (同步序列号)[.]：ACK (确认)[P]：PUSH (推送数据)[F]：FIN (结束连接)[R]：RST (重置连接)例如：
Flags [S.]：SYN-ACK (同步并确认)Flags [P.]：PUSH-ACK (推送数据并确认)win表示接收窗口大小，这是TCP流量控制的重要参数。
sudo tcpdump -i any -A -s0 port 80这个命令会显示所有HTTP流量（ASCII格式），可以用于：
查看原始HTTP请求和响应调试API调用分析Web应用问题sudo tcpdump -i any -s0 port 53可以查看系统的DNS查询和响应，用于：
排查DNS解析问题检测异常的DNS请求分析DNS缓存效果sudo tcpdump "tcp[tcpflags] & (tcp-syn|tcp-ack) != 0"这个命令会显示所有TCP连接建立的数据包，用于：
排查连接超时问题分析三次握手过程检测连接重置(RST)情况性能优化技巧限制数据包大小：使用-s参数可以限制捕获的数据包大小，减少资源占用sudo tcpdump -s 96使用BPF过滤器：Berkeley Packet Filter可以在内核层面过滤数据包，提高效率sudo tcpdump "tcp port 80 and host 192.168.1.100"写入文件时禁用DNS解析：使用-n参数可以避免DNS查询，提高写入速度sudo tcpdump -n -w capture.pcap使用环形缓冲区：对于高流量环境，可以使用-C和-W参数创建环形缓冲区sudo tcpdump -C 100 -W 10 -w capture.pcap安全注意事项Wireshark：图形化界面，分析功能更强大tshark：Wireshark的命令行版本ngrep：专门用于匹配特定内容的网络抓包工具tcpflow：重组TCP流，方便分析完整会话Tcpdump是网络工程师和安全分析师的瑞士军刀，掌握它可以让你在网络问题排查中游刃有余。本文介绍了从基础语法到高级技巧的全面内容，包括：
基本命令格式和常用参数实战案例解析高级过滤技巧输出结果解读方法常见问题排查场景性能优化建议安全注意事项记住，实践是最好的老师。建议你在测试环境中多尝试不同的命令和参数组合，逐步积累经验。当你真正掌握了tcpdump，网络抓包对你来说将不再是神秘的黑盒，而是一个可以透视网络通信的利器。
来源：郭主任
