LINUXtcpdump抓包教程与实用技巧

本文系统讲解了Linux环境下tcpdump抓包工具的实战用法，从Ubuntu/Debian和RHEL系列系统的安装验证，到基于接口（如eth0或any）、IP地址、端口、协议组合的精准流量过滤，再到保存为pcap文件供Wireshark深度分析，以及通过-A、-X和-s 0等关键参数解析HTTP、DNS等应用层载荷内容，全面覆盖网络故障排查中定位连接异常、诊断协议交互问题的核心需求，是一份即学即用、注重实操细节的高效网络分析指南。

如果您需要分析网络通信中传输的数据包，以排查连接异常或协议问题，可以使用 tcpdump 捕获实时流量。通过命令行工具直接读取网络接口数据，有助于精准定位网络层和传输层的交互细节。

本文运行环境：联想 ThinkPad X1 Carbon，Ubuntu 22.04

一、安装并启动 tcpdump

在大多数 Linux 发行版中，tcpdump 默认未安装，需通过系统包管理器进行部署。安装后可立即调用命令监听指定网卡。

1、打开终端，执行 sudo apt install tcpdump 安装工具（Debian/Ubuntu 系统）。

2、对于 Red Hat 系列系统，使用 sudo yum install tcpdump 或 sudo dnf install tcpdump 进行安装。

3、输入 tcpdump --version 验证是否安装成功。

二、捕获基础网络流量

默认情况下，tcpdump 会监听系统的第一个可用网络接口，并显示经过的数据包头部信息。此模式适用于快速查看活动流量。

1、运行 sudo tcpdump -i any 捕获所有接口上的数据包。

2、若指定特定接口如 eth0，使用 sudo tcpdump -i eth0 开始监听。

3、按下 Ctrl+C 停止抓包，系统将汇总捕获结果，包括总数与丢包数。

三、按条件过滤抓包内容

通过设置表达式，可缩小捕获范围，仅记录符合规则的数据包，减少冗余信息干扰。

1、只捕获来自特定 IP 的流量：sudo tcpdump host 192.168.1.100。

2、筛选某端口的通信，例如 SSH 流量：sudo tcpdump port 22。

3、结合协议与地址过滤：sudo tcpdump tcp and host 192.168.1.100 and port 80，仅捕获目标主机的 HTTP 请求。

四、保存抓包数据供后续分析

将原始数据包写入文件，便于使用 Wireshark 等图形化工具深入解析复杂会话。

1、执行 sudo tcpdump -i eth0 -w capture.pcap 将流量保存到当前目录下的 capture.pcap 文件。

2、限制保存大小，避免文件过大：sudo tcpdump -i eth0 -c 100 -w capture.pcap，表示仅保存前 100 个数据包。

3、完成后可通过 wireshark capture.pcap 在桌面环境中打开分析。

五、解析并展示详细协议内容

启用详细输出模式，能够查看数据包内应用层的有效载荷，帮助识别具体请求内容。

1、使用 sudo tcpdump -A -s 0 host example.com 以 ASCII 格式打印数据部分。

2、添加 -X 参数可同时显示十六进制与 ASCII 内容：sudo tcpdump -X -s 0 port 53，适合 DNS 报文分析。

3、设置快照长度为 0（即完整捕获）确保不截断载荷：-s 0 是关键参数。

今天关于《LINUXtcpdump抓包教程与实用技巧》的内容介绍就到此结束，如果有什么疑问或者建议，可以在golang学习网公众号下多多回复交流；文中若有不正之处，也希望回复留言以告知！