网络接口流量转储
指定 eth、ens、bond 等接口实时抓取数据包，支持计数限制与即时模式，适合现场应急。
核心能力矩阵
围绕“捕获—过滤—输出—落盘”构建完整数据包分析闭环，帮助你快速看清接口上发生了什么。
表达式精准筛选
按主机、网段、端口、协议与方向组合过滤，只保留与故障相关的流量片段。
多协议包头解析
覆盖 IPv4/IPv6、TCP/UDP/ICMP 以及 BGP、OSPF、SNMP、SMB、NFS 等常见类型。
pcap 存储与回放
将原始包写入文件后离线复现，便于协作分析与长期存证。
故障排查工作流
把模糊的“网络不通”拆解为可验证的抓包步骤，缩短平均修复时间。
1
确认接口与方向
明确业务所在网卡，必要时分别观察入向与出向流量。
2
缩小过滤范围
用 host/port/proto 锁定可疑会话，避免被海量背景流量淹没。
3
核对握手与重传
观察 SYN/ACK、重传与重置标记，判断是链路、防火墙还是应用层问题。
4
落盘复盘
保存 pcap 并补充时间线说明，方便团队复现与闭环。
适用场景
🛠️ 运维排障
定位超时、丢包、DNS 异常与路由抖动，验证变更是否生效。
🛡️ 安全监测
发现异常外连、端口扫描与可疑会话，为事件响应提供证据。
📚 协议学习
直观观察握手、重传与控制报文，帮助理解真实网络行为。
安装与依赖一览
轻量安装，典型体积约 1.31 MB。可使用 sudo apt install tcpdump 或通过本站在线分析入口获取。
| 组件 | 作用 |
|---|---|
| libpcap | 提供底层数据包捕获能力 |
| OpenSSL / libssl | 相关加密与安全组件支持 |
| libc | 基础运行时库 |
| 权限模型 | 抓取网卡流量通常需要管理员权限 |
命令速查
tcpdump -h tcpdump -i eth0 -nn tcpdump -i eth0 -c 100 'host 192.168.1.10' tcpdump -i eth0 -w dump.pcap 'tcp port 443' tcpdump -nn -r dump.pcap
实践建议
先采样再深挖
用 -c 先抓一小段确认过滤正确，再进行长时间采集，避免磁盘被无关流量占满。
注意隐私与合规
抓包可能包含敏感载荷，应在授权范围内操作，并对落盘文件做好访问控制。
FAQ 常见问题
1. TCPdump 数据包分析能解决什么问题？
它能在指定网络接口捕获并转储流量，打印包头、按表达式过滤，帮助你追踪网络问题、检测攻击并监控网络活动。对于超时、握手失败、异常外连等现象，往往能在几分钟内给出证据链。
2. 如何选择正确的抓包网卡？
先确认业务流量经过的接口名称，然后用 -i 指定，例如 tcpdump -i eth0。若系统支持，也可尝试 -i any 聚合观察，但生产排障更建议精确到单一接口，减少噪声。
3. 安装体积与依赖是什么？
典型安装大小约 1.31 MB，依赖 libc、libpcap 与 OpenSSL 等。轻量特性使其适合在服务器、跳板机与应急环境中快速部署。
4. 怎样过滤特定主机或端口？
在命令末尾写 BPF 表达式，例如 host 10.0.0.8、port 53、tcp and dst port 443。可组合 and/or/not 进一步收窄范围，只保留与故障相关的会话。
5. 如何限制抓包数量或文件大小？
使用 -c count 在捕获指定包数后退出；配合 -C、-W 等选项可按文件大小轮转保存，便于长时间采样又不失控。
6. 输出太难读怎么办？
推荐加上 -nn 禁用名称解析，使用 -tttt 显示可读时间，必要时用 -v 提升详细度，或用 -X 查看载荷十六进制，定位应用层异常。
7. 能否用于攻击检测？
可以。通过观察短时间大量 SYN、非常规端口探测、异常外连目标等特征，TCPdump 能提供第一手流量证据。正式响应时建议将 pcap 归档并记录采集上下文。
8. 抓包需要什么权限？
在多数系统中捕获网卡流量需要 root 或同等能力。可在授权窗口内提权执行，或通过 capabilities 做最小化授权，并用 -Z 在启动后切换到普通用户。
9. 与仅看系统日志相比有何优势？
日志往往是应用视角的结果，而 TCPdump 直接呈现线路上的真实报文。很多“服务报错”其实是握手未完成、被重置或路径异常，抓包能快速区分责任边界。