| 用途 | 实时抓包、打印报文摘要、写入 pcap 文件 |
|---|---|
| 语法 | tcpdump [选项] [过滤表达式] |
| 依赖 | libpcap，默认包名 tcpdump |
常用示例
常用示例
tcpdump -i eth0 -nn -c 20
tcpdump -i any port 443 -w /tmp/tls.pcap
tcpdump -nn -r /tmp/tls.pcap | head -30不加过滤表达式时会抓到接口上全部流量，生产环境先想好过滤条件再落盘。
本包目录（400 条）
tcpdump 过滤实战51 条
- tcpdump 命令行抓包
- tcpdump -w 写入 pcap 文件
- tcpdump -i 指定抓包接口
- tcpdump port 端口过滤
- tcpdump -n 与 -nn 不做解析
- BPF 过滤表达式基础
- tcpdump 抓 SYN 建连请求
- tcpdump host 主机过滤
- tcpdump tcpflags 标志位过滤
- tcpdump 抓 RST 复位包
- tcpdump -r 读取 pcap 文件
- tcpdump 时间戳格式选项
- tcpdump 逻辑组合与括号
- tcpdump 抓 ICMP 与类型过滤
- tcpdump -s 设置抓取长度
- tcpdump net 网段过滤
- tcpdump -c 限制抓包数量
- tcpdump src 与 dst 限定方向
- tcpdump udp 过滤
- tcpdump 字节匹配抓 HTTP GET
- tcpdump -A 按 ASCII 打印载荷
- tcpdump -D 列出可用接口
- tcpdump 协议关键字过滤
- tcpdump -e 打印链路层头部
- tcpdump 抓 FIN 拆除包
- tcpdump arp 过滤
- tcpdump 抓 DHCP 交互
- tcpdump -X 十六进制与 ASCII 对照
- tcpdump portrange 端口范围
- tcpdump vlan 过滤
- tcpdump 抓零窗口通告
- tcpdump -v 详细输出
- tcpdump -Q 按方向抓包
- tcpdump 抓 IPv6 流量
- tcpdump 输出统计与聚合
- tcpdump -q 精简输出
- tcpdump -B 调整抓包缓冲区
- tcpdump ether 按 MAC 过滤
- tcpdump 抓 IP 分片
- tcpdump 管道与远端联动
- tcpdump -l 行缓冲输出
- tcpdump 广播与组播过滤
- tcpdump -p 关闭混杂模式
- tcpdump greater 与 less 按包长过滤
- tcpdump 抓 NTP 时间同步
- tcpdump -U 包到达即写盘
- tcpdump 抓 GRE 隧道流量
- tcpdump 抓 SNMP 流量
- tcpdump -Z 抓包后降权
- tcpdump 抓 STP BPDU
- tcpdump 抓 ESP 加密流量
tcpdump 命令行抓包
Linux 下基于 libpcap 的命令行抓包工具：可实时打印报文摘要或落盘为 pcap 文件，是服务器侧排障的常备手段，配合 BPF 过滤表达式可精准命中目标流量。
易错点
- 需要 root 或 CAP_NET_RAW 能力，普通用户直接执行会提示 permission denied
- 未指定 -i 时在部分发行版上抓的是自动挑选的接口，排障前先用 tcpdump -D 确认接口名
数据来源与参考
- man 8 tcpdump（tcpdump 手册）
- tcpdump 官方手册页