tcpdump 过滤实战51 条

tcpdump -i 指定抓包接口

用 -i 指定从哪块网卡或伪接口抓包：物理网卡、lo、any（全部接口）、docker0 与 veth 都可用；接口选错是抓不到包的首要原因。

常用示例

tcpdump -D                       # 列出可用接口
 tcpdump -i eth0 -c 5
 tcpdump -i any -c 5 icmp
 tcpdump -i lo port 8080

any 接口在 Linux 上使用 SLL 伪链路层，抓出的 pcap 里看不到以太网头；要分析 MAC/VLAN 请用具体物理接口。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌