tcpdump 过滤实战51 条

tcpdump 抓 FIN 拆除包

抓取 FIN 报文：观察连接正常关闭流程、判断是谁先发起关闭、排查连接被对端优雅断开或连接泄漏。

用途	过滤 TCP FIN 报文
语法	tcp[tcpflags] & tcp-fin != 0

常用示例

tcpdump -i eth0 -nn 'tcp[tcpflags] & tcp-fin != 0' -c 20
tcpdump -i eth0 -nn 'host 10.0.0.9 and tcp[tcpflags] & (tcp-fin|tcp-rst) != 0'

抓到 FIN 只说明一方想关，连接是否真正关闭还要看后续 FIN-ACK 与对端 FIN。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌