tcpdump 过滤实战51 条

tcpdump -r 读取 pcap 文件

离线读取已抓取的 pcap 文件，可反复用不同过滤表达式分析同一份数据，是复现问题与自学的常用方式。

用途	离线读取并过滤 pcap 文件
语法	tcpdump -r <文件> [选项] [过滤表达式]

常用示例

tcpdump -nn -r /tmp/issue.pcap 'tcp.port == 443' | head
tcpdump -nn -r /tmp/issue.pcap -c 20 -tttt
tcpdump -nn -r /tmp/issue.pcap -A 'tcp port 80'

读取时同样支持 BPF 语法与 -A/-X/-e 等打印选项，等于给同一份报文换不同视角。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌