tcpdump是Linux下强大的网络抓包工具，用于故障排查与性能分析，支持按接口、协议、端口等条件过滤数据包，常用参数包括-i指定网卡、-n不解析主机名、-w保存抓包文件、-r读取文件、-c限制数量、-s设置捕获长度，结合过滤表达式可精准捕获如HTTP、HTTPS、SSH等流量，建议生产环境使用sudo提权并配合-w保存文件以避免性能问题，通过-v增加详细度，利用and/or/not组合条件实现精细过滤，最终可结合Wireshark或tcpdump -r分析内容，是运维开发必备技能。
在Linux系统中，tcpdump 是一个非常强大的命令行网络抓包工具，常用于网络故障排查、安全分析和性能调优。它能够捕获经过网络接口的数据包，并以可读格式显示其内容。掌握常用参数可以显著提升分析效率。
1. 基本语法与常用选项
tcpdump 的基本语法如下：
tcpdump [选项] [过滤表达式]
常见参数说明：
-i interface：指定监听的网络接口，如 -i eth0 或 -i any（监听所有接口）-n：不解析主机名、端口名，直接显示IP和端口号，加快输出速度-nn：不解析协议名（如TCP/UDP）和端口，显示数字形式-v, -vv, -vvv：增加输出的详细程度，v越多信息越详细-c count：限制捕获的数据包数量，例如 -c 10 只抓10个包-s snaplen：设置每个数据包捕获的字节数，默认65535字节，-s 0 表示抓完整包-w file：将抓包结果保存到文件，供Wireshark等工具后续分析-r file：读取之前保存的抓包文件进行分析
2. 常见抓包场景与过滤表达式
tcpdump 支持丰富的过滤语法，可按主机、端口、协议等条件筛选数据包。
按主机过滤：
tcpdump -i eth0 host 192.168.1.100：只抓与该IP通信的包tcpdump host 192.168.1.100 and port 80：抓该IP且端口80的流量
按协议过滤：
tcpdump -i eth0 tcp：只抓TCP协议包tcpdump udp：抓UDP包tcpdump icmp：抓ICMP（ping）包
按端口过滤：
豆包爱学
豆包旗下AI学习应用
674 查看详情 
tcpdump -i eth0 port 80：抓80端口的流量tcpdump port 443：抓HTTPS流量tcpdump src port 22：只抓源端口为22（SSH）的包
组合条件（and/or/not）：
tcpdump host 192.168.1.100 and not port 22：排除SSH流量tcpdump tcp and host 10.0.0.5 and ( port 80 or port 443 )：抓指定IP的HTTP/HTTPS流量
3. 实际使用建议
在生产环境中使用 tcpdump 时，注意以下几点：
普通用户可能无法执行抓包，需使用 sudo 提权长时间抓包建议使用 -w filename.pcap 保存，避免终端刷屏抓包文件可用 Wireshark 打开：wireshark filename.pcap避免在高流量接口上无过滤抓包，防止性能影响或文件过大使用过滤表达式尽量精确，减少无关数据干扰
4. 示例：抓取HTTP请求并保存分析
抓取所有发往80端口的TCP包，保存为文件：
sudo tcpdump -i eth0 -nn -s 0 -v -w http.pcap ‘tcp port 80 and (((ip[2:2] – ((ip[0]&0xf)>2)) != 0)’
说明：该命令过滤出非空载荷的HTTP包（排除ACK等空数据包），便于后续分析请求内容。
之后可用以下命令查看部分内容：
tcpdump -r http.pcap -A | grep -i “get|host”
基本上就这些。熟练掌握 tcpdump 参数和过滤语法，能快速定位网络问题，是运维和开发人员的必备技能。不复杂但容易忽略细节，建议结合实际环境多练习。
以上就是如何在Linux中抓包分析 Linux tcpdump常用参数的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/437762.html
微信扫一扫 
支付宝扫一扫 
