常用表达式
常用表达式
tcpdump -i eth0 -nn -c 100 'host 203.0.113.10 and port 8080'
tcpdump -i eth0 -nn 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn'
tcpdump -i eth0 -s 0 -w /tmp/app.pcap 'port 443'服务器上抓包需要相应权限; -s 0 抓取完整报文便于后续分析。
本包目录（357 条）
sysctl 内核参数72 条CPU 与调度60 条内存与 OOM58 条磁盘与 IO32 条
网络栈调优98 条
- 监听队列溢出诊断
- TIME-WAIT 堆积诊断
- 网卡中断亲和与队列绑定
- net.core.netdev_budget 软中断预算
- tcp_limit_output_bytes 与排队延迟
- UDP 收发错误计数定位
- /proc/net/softnet_stat 丢包定位
- net.ipv4.tcp_sack 选择性确认
- net.ipv4.tcp_notsent_lowat 发送缓冲水位
- net.netfilter.nf_conntrack_buckets 哈希桶
- 连接跟踪表满诊断
- nf_conntrack_tcp_timeout_established
- net.ipv4.ipfrag_high_thresh 分片重组内存
- 发送缓冲写阻塞定位
- net.ipv4.tcp_dsack 重复 SACK
- net.ipv4.tcp_adv_win_scale 窗口换算
- net.ipv4.tcp_moderate_rcvbuf 自动调节
- net.ipv4.tcp_rfc1337 TIME_WAIT 防护
- net.ipv4.tcp_max_orphans 孤儿套接字上限
- net.ipv4.tcp_retries2 重传上限
- net.ipv4.tcp_rto_min / tcp_rto_max
- net.ipv4.udp_mem 全局内存三值
- net.core.rmem_default 默认接收缓冲
- net.core.wmem_default 默认发送缓冲
- net.ipv4.icmp_ratelimit 响应限速
- TCP_DEFER_ACCEPT 减少空连接唤醒
- socket 缓冲与带宽延迟积估算
- net.core.netdev_budget_usecs 软中断时间预算
- nf_conntrack UDP 超时调优
- arp_ignore 与 arp_announce 场景配置
- 抓包文件离线分析流程
- TLS 握手延迟测量
- 多路径 ECMP 哈希策略
- 应用侧 TCP keepalive 参数
- TCP_USER_TIMEOUT 控制未确认数据等待
- tcp_challenge_ack_limit 挑战 ACK 限速
- tcp_invalid_ratelimit 无效报文响应限速
- 重传与超时诊断链路
- fq_codel 出口排队与缓冲膨胀抑制
- 网络调优闭环方法
- MTU 与分片问题定位
- RPS/RFS 软件收包分发
- XPS 发送队列绑定
- ethtool 流哈希与 RSS 分布
- /proc/net/snmp 协议计数速查
- 多队列网卡队列数查看与调整
- ethtool -S 网卡统计解读
- ethtool 环缓冲查看与调整
- 中断合并参数调整
- 收发 offload 开关与抓包一致性
- 发送队列丢弃与 txqueuelen
- tc -s qdisc 出口队列读数
- conntrack 命令查看跟踪表
- nftables 规则速查
- nftables flowtable 快速转发
- 邻居缓存 GC 与 stale 时间
- 邻居表故障定位
- inet_peer 缓存参数概览
- SO_REUSEPORT 多进程监听分流
- tcp_migrate_req 请求队列迁移
- tcpdump 常用过滤表达式
- 内核丢包点追踪
- ip -s link 接口错误计数
- iperf3 TCP 吞吐测量
- iperf3 UDP 丢包与抖动测量
- mtr 逐跳丢包与延迟
- netem 延迟与丢包模拟
- tc tbf 出口限速
- ss -ti 解读单连接 TCP 状态
- ss -s 传输层总览
- curl 计时模板量化 HTTP 各阶段
- /proc/net/sockstat 速读
- nstat 差值观测协议计数
- 网卡驱动与固件版本核对
- ipfrag_time 分片重组超时
- ip_nonlocal_bind 与浮动地址
- tcp_orphan_retries 与连接关闭
- IPv6 关闭的完整做法
- bonding 链路状态检查
- ping RTT 与抖动基线
- ethtool 流控(pause)查看与调整
- nc 连通性探测与端口检查
- dig 解析耗时与解析器对比
- 跟踪表状态分布统计
- listen() backlog 与应用层队列
- SO_REUSEADDR 快速重启绑定
- SO_LINGER 与主动 RST 关闭
- TCP_MAXSEG 限制单段大小
- TCP_QUICKACK 立即确认模式
- SO_RCVLOWAT 读唤醒阈值
- TCP_NODELAY 与交互延迟
- 按连接选择拥塞控制
- SO_BINDTODEVICE 绑定出口设备
- 网络命名空间排查方法
- veth 虚拟网卡对定位
- NAT 映射异常排查
- SYN_RECV 堆积诊断
- iptables 后端与规则来源核对
tcpdump 常用过滤表达式
抓包的价值在于精准过滤: 按地址、端口、方向与 TCP 标志组合, 把噪声挡在抓取阶段之外。
易错点
- 表达式语法错误时行为与预期不符, 需先用 -c 少量验证
- 在高流量接口无过滤抓包, 产生磁盘与 CPU 压力
数据来源与参考
- man pcap-filter
- man tcpdump