| 接口 | -i any 或指定物理口 |
|---|---|
| 表达式 | 按主机、端口、协议组合过滤 |
| 落盘 | -w 文件配合 -c 数量限制 |
| 轮转 | -C 大小 -W 数量滚动覆盖 |
常用命令
常用命令
tcpdump -ni eth0 host 203.0.113.2 and port 179 -c 100
tcpdump -ni eth0 -w /tmp/wan.pcap -C 50 -W 5 'host 10.2.2.1'
# 带时间戳观察
tcpdump -ni eth0 -tttt 'icmp' | head -20tcpdump 广域网抓包：过滤与落盘
抓包三件事：选对接口、写对过滤表达式、控制量级；-w 落盘后再用分析工具过滤，避免现场刷屏丢掉关键报文。
易错点
- 不加过滤直接抓：数据量大到无法分析
- 抓包文件不控制大小：写满磁盘会影响业务
数据来源与参考
- tcpdump 手册
- Wireshark 过滤器参考