Linuxtcpdump抓包教程与实战排查

本文深入浅出地讲解了Linux下tcpdump抓包的完整实战流程，从抓包前必须确认的网卡状态、操作权限和端口占用三大关键前提，到按场景选择高效命令组合（如排查DNS慢、SSH卡顿、HTTP流量），再到避免常见过滤表达式陷阱（如精准区分src/dst、排除IPv6和噪音协议），最后聚焦抓包结果的核心字段解读——时间戳、IP端口对、TCP标志位和包长度，手把手教会读者如何用最少命令、最准过滤、最简分析快速定位网络故障，真正实现“抓得准、看得懂、排得快”。

tcpdump 抓包前必须确认的三件事

不加判断直接 tcpdump，大概率抓不到关键包，甚至干扰业务。先做这三步检查：

• 确认目标网卡是否活跃：ip link show 看状态是否为 UP，ethtool eth0 确认 Link detected: yes
• 确认你有权限：普通用户需加 sudo；若提示 Operation not permitted，不是权限问题而是内核禁用了非 root 用户抓包（CentOS 8+/RHEL 8+ 默认行为），得用 sudo setcap cap_net_raw+ep /usr/sbin/tcpdump 或切 root
• 确认没被其他进程占用：sudo lsof -i :port 或 sudo ss -tulnp | grep :port 避免端口监听冲突，尤其 SSH、DNS 这类常被误抓的服务

最常用 tcpdump 命令组合及适用场景

别死记参数，按目标选组合：

• 查 DNS 解析慢：sudo tcpdump -i eth0 -n port 53（-n 禁 DNS 反解，避免自身卡住）
• 定位 SSH 登录卡顿：sudo tcpdump -i eth0 -n host 192.168.1.100 and port 22（把 IP 换成客户端或服务端真实地址）
• 抓特定协议流量：sudo tcpdump -i eth0 -n icmp 或 sudo tcpdump -i eth0 -n tcp and port 80
• 保存到文件供后续分析：sudo tcpdump -i eth0 -n -w /tmp/http.pcap port 80，然后用 wireshark /tmp/http.pcap 打开

注意：-w 保存的是原始二进制包，不能用 cat 或 less 直接看；想边抓边看文本内容，去掉 -w，加 -A（ASCII）或 -X（hex + ASCII）

过滤表达式写错导致“抓了等于没抓”

常见错误不是语法报错，而是逻辑漏掉关键条件：

• host 192.168.1.100 匹配双向流量；如果只想看发给它的包，用 dst host 192.168.1.100；只看它发出的，用 src host 192.168.1.100
• port 80 同时匹配源端口和目的端口，HTTP 请求里客户端随机端口也会被包含进来，干扰判断；更准的是 dst port 80
• 想排除噪音（如 NTP、ARP）：not port 123 and not arp，但注意 and/or 优先级，建议加括号：not (port 123 or arp)
• IPv6 流量默认也会被捕获，如果只关心 IPv4，显式加上 ip：tcpdump ip and port 80

抓到包后怎么看才不白忙活

输出里真正要盯的只有几列：

• 时间戳（第一列）：看请求/响应间隔是否异常，比如 DNS 查询后隔 5 秒才收到应答，说明上游 DNS 响应慢
• 源/目的 IP+端口（第二、三列）：确认通信双方是不是你预期的机器和端口，尤其注意 NAT 后的地址是否被转换
• 协议标志（如 S、. 、F、R）：SYN 包没回 SYN-ACK？说明连接被中间设备（防火墙、负载均衡）拦截；大量 RST？可能是服务进程崩溃或端口未监听
• 长度（最后一列）：小包（1400 字节）频繁重传，考虑 MTU 不匹配或链路丢包

实际中，90% 的典型问题靠 tcpdump -i eth0 -n -c 20 port 53 或 tcpdump -i eth0 -n -c 20 host X.X.X.X 就能定位——关键是抓对时机、过滤对方向、看懂那几列字段。别一上来就 -s 0 抓全包，既慢又难读。

理论要掌握，实操不能落！以上关于《Linuxtcpdump抓包教程与实战排查》的详细介绍，大家都掌握了吧！如果想要继续提升自己的能力，那么就来关注golang学习网公众号吧！