为什么要以本机手册为准
抓包工具链的参数在不同发行版与版本之间改动频繁：某个选项在新版被废弃、某个字段名被重命名、某个组合姿势换了默认行为，网上搜到的示例常常早于本机版本。现场的稳妥做法是查本机手册页或工具的帮助输出，再照着本机版本写命令。这一条把常用工具的查阅入口集中记下来。
基本信息
| 查阅命令 | man <工具名>；快速看用法可用 <工具> -h 或 --help |
|---|---|
| 章节差异 | 系统管理类常在手册第 8 章，普通用户命令在第 1 章 |
| 抓包类 | tcpdump、dumpcap |
| 分析类 | tshark、wireshark 图形界面按 F1 打开手册 |
| 文件处理类 | editcap、mergecap、capinfos、text2pcap、reordercap |
| 查看系统状态 | ss、netstat（观察连接与套接字） |
典型使用场景
- 现场排错：报错提示选项无效时，先 man 确认本机是否支持该参数
- 写脚本前：核对选项的准确拼写与取值格式，避免上线后才发现拼错
- 版本升级后：回归验证脚本用到的选项是否仍然存在且语义未变
- 教新人：把手册页的对应章节指给对方，比口头转述更准确
- 无网络环境：现场没有外网，手册页是唯一可用的权威参考
常用手册入口
常用手册入口
man 8 tcpdump # 抓包, 系统管理章节
man 1 dumpcap # 抓包的底层工具, 支持多文件与环形缓冲
man 1 tshark # 命令行分析, 选项极多, 建议配合 -h 速览
man 1 editcap # 裁剪/去重/时间平移
man 1 mergecap # 合并多个抓包文件
man 1 capinfos # 输出文件概要信息
man 1 text2pcap # 十六进制文本转 pcap
man 8 ss # 查看套接字与连接状态
<工具> -h # 精简镜像里没有 man 时用帮助输出替代工具与适用场景
| 工具 | 主要用途 | 使用提示 |
|---|---|---|
| tcpdump | 最小依赖的抓包与快速过滤计数 | 语法老但到处都有 |
| dumpcap | 长时间采集, 多文件滚动与环形缓冲 | 权限模型比 tshark 更简单 |
| tshark | 命令行分析、统计与批量导出 | 出量化数字的主力 |
| editcap | 裁剪、去重、时间平移 | 改文件前先备份原文件 |
| mergecap | 多文件合并 | 默认按时间排序再合并 |
| capinfos | 文件概要 | 核对裁剪结果的第一步 |
| ss | 查看本机套接字状态 | 与抓包结果交叉验证 |
容器里的精简镜像常只装了运行时依赖，没有 man 与手册数据；此时用工具的 -h 输出或发行版在线手册对照，但最终仍以容器内实际运行版本的输出为准。
手册页里标为废弃（deprecated）的选项仍可能在本机可用，但升级后会消失；脚本里使用这类选项时留一条注释，说明替代写法。