tcpdump greater 与 less 按包长过滤

按报文长度过滤：greater N 抓大于 N 字节的包，less N 抓小于 N 字节的包；用于筛选大包、MTU 相关包与心跳小包。

抓包与流量分析速查网络更新于 2026-10-12

用途	按整包字节数过滤
语法	greater <字节> / less <字节>

常用示例

tcpdump -i eth0 -nn 'greater 1400 and host 10.0.0.9'
tcpdump -i eth0 -nn 'less 100 and tcp port 443'
tcpdump -i eth0 -nn 'tcp port 80 and greater 1000'

长度含以太网头（14 字节起）；核对 MTU 边界时抓 1500 字节附近的包更有针对性。

易错点

长度计算含链路头，定位 MTU 时需要按 14（以太网）+20（IP）+20（TCP）自行折算
抓大包场景注意 stderr 的丢包统计，高速率下可能来不及写盘

数据来源与参考

man 8 pcap-filter（length 原语）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌