如何在Linux中抓包分析 Linux tcpdump常用参数

tcpdump是Linux下强大的网络抓包工具，用于故障排查与性能分析，支持按接口、协议、端口等条件过滤数据包，常用参数包括-i指定网卡、-n不解析主机名、-w保存抓包文件、-r读取文件、-c限制数量、-s设置捕获长度，结合过滤表达式可精准捕获如HTTP、HTTPS、SSH等流量，建议生产环境使用sudo提权并配合-w保存文件以避免性能问题，通过-v增加详细度，利用and/or/not组合条件实现精细过滤，最终可结合Wireshark或tcpdump -r分析内容，是运维开发必备技能。

在Linux系统中，tcpdump 是一个非常强大的命令行网络抓包工具，常用于网络故障排查、安全分析和性能调优。它能够捕获经过网络接口的数据包，并以可读格式显示其内容。掌握常用参数可以显著提升分析效率。

1. 基本语法与常用选项

tcpdump 的基本语法如下：

常见参数说明：

• -i interface：指定监听的网络接口，如 -i eth0 或 -i any（监听所有接口）
• -n：不解析主机名、端口名，直接显示IP和端口号，加快输出速度
• -nn：不解析协议名（如TCP/UDP）和端口，显示数字形式
• -v, -vv, -vvv：增加输出的详细程度，v越多信息越详细
• -c count：限制捕获的数据包数量，例如 -c 10 只抓10个包
• -s snaplen：设置每个数据包捕获的字节数，默认65535字节，-s 0 表示抓完整包
• -w file：将抓包结果保存到文件，供Wireshark等工具后续分析
• -r file：读取之前保存的抓包文件进行分析

2. 常见抓包场景与过滤表达式

tcpdump 支持丰富的过滤语法，可按主机、端口、协议等条件筛选数据包。

按主机过滤：

• tcpdump -i eth0 host 192.168.1.100：只抓与该IP通信的包
• tcpdump host 192.168.1.100 and port 80：抓该IP且端口80的流量

按协议过滤：

• tcpdump -i eth0 tcp：只抓TCP协议包
• tcpdump udp：抓UDP包
• tcpdump icmp：抓ICMP（ping）包

按端口过滤：

豆包爱学

豆包旗下AI学习应用

674

查看详情

• tcpdump -i eth0 port 80：抓80端口的流量
• tcpdump port 443：抓HTTPS流量
• tcpdump src port 22：只抓源端口为22（SSH）的包

组合条件（and/or/not）：

• tcpdump host 192.168.1.100 and not port 22：排除SSH流量
• tcpdump tcp and host 10.0.0.5 and \( port 80 or port 443 \)：抓指定IP的HTTP/HTTPS流量

3. 实际使用建议

在生产环境中使用 tcpdump 时，注意以下几点：

• 普通用户可能无法执行抓包，需使用 sudo 提权
• 长时间抓包建议使用 -w filename.pcap 保存，避免终端刷屏
• 抓包文件可用 Wireshark 打开：wireshark filename.pcap
• 避免在高流量接口上无过滤抓包，防止性能影响或文件过大
• 使用过滤表达式尽量精确，减少无关数据干扰

4. 示例：抓取HTTP请求并保存分析

抓取所有发往80端口的TCP包，保存为文件：

说明：该命令过滤出非空载荷的HTTP包（排除ACK等空数据包），便于后续分析请求内容。

之后可用以下命令查看部分内容：

基本上就这些。熟练掌握 tcpdump 参数和过滤语法，能快速定位网络问题，是运维和开发人员的必备技能。不复杂但容易忽略细节，建议结合实际环境多练习。

以上就是如何在Linux中抓包分析 Linux tcpdump常用参数的详细内容，更多请关注php中文网其它相关文章！