LinuxTcpdump抓包技巧与过滤方法

本文系统介绍了Linux下强大而灵活的网络抓包工具Tcpdump，从安装配置、接口识别、基础捕获到多维度精准过滤——涵盖协议（TCP/UDP/ICMP）、IP地址与端口组合、数据包长度、通信方向及布尔逻辑高级表达式等实用技巧，并支持实时分析与pcap文件保存供Wireshark深度解析，是运维人员、安全工程师和开发者进行网络故障排查、流量审计与协议调试不可或缺的实战指南。

如果您需要在Linux系统中捕获网络数据包以进行流量分析或故障排查，则可以使用Tcpdump这一命令行抓包工具。以下是执行抓包操作并应用常见过滤规则的具体步骤：

一、安装Tcpdump工具

Tcpdump并非所有Linux发行版默认预装，需根据系统包管理器手动安装。安装完成后才能执行后续抓包命令。

1、在基于Debian/Ubuntu的系统中，运行：sudo apt update && sudo apt install tcpdump

2、在基于RHEL/CentOS 8+/AlmaLinux/Rocky Linux系统中，运行：sudo dnf install tcpdump

3、在CentOS 7或早期RHEL系统中，运行：sudo yum install tcpdump

二、查看可用网络接口

执行抓包前需确认目标网络接口名称，避免在错误接口上捕获空流量或遗漏关键通信路径。

1、列出当前系统所有活动网络接口：tcpdump -D

2、若需更简洁输出，可结合ip命令：ip link show | grep "^[0-9]" | awk '{print $2}' | sed 's/://'

三、基础抓包命令与保存文件

Tcpdump默认监听第一个非环回接口，捕获原始数据包并实时输出到终端；也可将结果保存为pcap格式供Wireshark等工具后续分析。

1、在eth0接口上捕获前50个数据包并显示简要信息：sudo tcpdump -i eth0 -c 50

2、将捕获的数据包保存为test.pcap文件：sudo tcpdump -i eth0 -w test.pcap -c 100

3、读取已保存的pcap文件并解析内容：tcpdump -r test.pcap

四、按协议类型过滤数据包

通过指定协议关键字可快速聚焦特定类型的网络通信，减少无关包干扰，提升分析效率。

1、仅捕获ICMP协议数据包（如ping请求与响应）：sudo tcpdump -i eth0 icmp

2、仅捕获TCP协议数据包：sudo tcpdump -i eth0 tcp

3、仅捕获UDP协议数据包：sudo tcpdump -i eth0 udp

4、排除DNS查询流量（目的端口53）：sudo tcpdump -i eth0 not port 53

五、按IP地址与端口组合过滤

针对特定主机或服务的通信进行精确捕获，适用于定位某台设备异常行为或某项服务的交互细节。

1、捕获来自192.168.1.100的所有流量：sudo tcpdump -i eth0 src host 192.168.1.100

2、捕获发往10.0.0.5且目标端口为22的SSH流量：sudo tcpdump -i eth0 dst host 10.0.0.5 and dst port 22

3、捕获源IP为172.16.0.20且源端口为8080的HTTP服务出向流量：sudo tcpdump -i eth0 src host 172.16.0.20 and src port 8080

六、按数据包长度与方向过滤

利用数据包大小特征识别异常流量（如碎片化攻击、超大帧）、或筛选特定方向通信用于单向链路诊断。

1、捕获大于100字节的数据包：sudo tcpdump -i eth0 greater 100

2、捕获小于64字节的控制类小包（如SYN、ACK）：sudo tcpdump -i eth0 less 64

3、仅捕获从本地主机发出的数据包（不包括进入本机的响应）：sudo tcpdump -i eth0 'src host 127.0.0.1'

七、组合逻辑与高级表达式过滤

通过布尔运算符构建复合条件，实现对复杂网络场景的精准匹配，例如同时限定协议、地址、端口及载荷特征。

1、捕获来自192.168.2.0/24网段、且目的端口为443的HTTPS流量：sudo tcpdump -i eth0 'src net 192.168.2.0/24 and dst port 443'

2、捕获既不是SSH也不是DNS的TCP流量：sudo tcpdump -i eth0 'tcp and not port 22 and not port 53'

3、捕获包含特定十六进制字符串（如HTTP GET请求）的数据包：sudo tcpdump -i eth0 -A 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'

本篇关于《LinuxTcpdump抓包技巧与过滤方法》的介绍就到此结束啦，但是学无止境，想要了解学习更多关于文章的相关知识，请关注golang学习网公众号！