| 用途 | 过滤 IP 分片报文（首片与后续片） |
|---|---|
| 语法 | ip[6:2] & 0x3fff != 0（MF 或偏移非 0） |
常用示例
常用示例
tcpdump -i eth0 -nn 'ip[6:2] & 0x3fff != 0'
tcpdump -i eth0 -nn -v 'ip[6] & 0x20 != 0' # 只看 MF=1 的片
tcpdump -i eth0 -nn -v 'ip[6:2] & 0x1fff != 0' # 偏移非 0 的后续片IPv6 分片看扩展头，不能沿用该表达式；重组后的完整报文需 Wireshark 查看。