Linuxtcpdump抓包教程与技巧

本文系统讲解了Linux下tcpdump这一强大命令行抓包工具的实战用法，从Ubuntu/Debian和Red Hat系列系统的安装验证，到指定网卡或全接口实时捕获、灵活运用host/port/protocol等表达式精准过滤流量，再到保存为pcap文件供Wireshark深度分析，以及通过-A、-X和-s 0参数直观查看HTTP、DNS等应用层载荷内容——手把手带你掌握网络故障排查的核心技能，无论你是调试连接异常、分析协议交互，还是定位传输层问题，都能快速上手、精准发力。

如果您需要分析网络通信中传输的数据包，以排查连接异常或协议问题，可以使用 tcpdump 捕获实时流量。通过命令行工具直接读取网络接口数据，有助于精准定位网络层和传输层的交互细节。

本文运行环境：联想 ThinkPad X1 Carbon，Ubuntu 22.04

一、安装并启动 tcpdump

在大多数 Linux 发行版中，tcpdump 默认未安装，需通过系统包管理器进行部署。安装后可立即调用命令监听指定网卡。

1、打开终端，执行 sudo apt install tcpdump 安装工具（Debian/Ubuntu 系统）。

2、对于 Red Hat 系列系统，使用 sudo yum install tcpdump 或 sudo dnf install tcpdump 进行安装。

3、输入 tcpdump --version 验证是否安装成功。

二、捕获基础网络流量

默认情况下，tcpdump 会监听系统的第一个可用网络接口，并显示经过的数据包头部信息。此模式适用于快速查看活动流量。

1、运行 sudo tcpdump -i any 捕获所有接口上的数据包。

2、若指定特定接口如 eth0，使用 sudo tcpdump -i eth0 开始监听。

3、按下 Ctrl+C 停止抓包，系统将汇总捕获结果，包括总数与丢包数。

三、按条件过滤抓包内容

通过设置表达式，可缩小捕获范围，仅记录符合规则的数据包，减少冗余信息干扰。

1、只捕获来自特定 IP 的流量：sudo tcpdump host 192.168.1.100。

2、筛选某端口的通信，例如 SSH 流量：sudo tcpdump port 22。

3、结合协议与地址过滤：sudo tcpdump tcp and host 192.168.1.100 and port 80，仅捕获目标主机的 HTTP 请求。

四、保存抓包数据供后续分析

将原始数据包写入文件，便于使用 Wireshark 等图形化工具深入解析复杂会话。

1、执行 sudo tcpdump -i eth0 -w capture.pcap 将流量保存到当前目录下的 capture.pcap 文件。

2、限制保存大小，避免文件过大：sudo tcpdump -i eth0 -c 100 -w capture.pcap，表示仅保存前 100 个数据包。

3、完成后可通过 wireshark capture.pcap 在桌面环境中打开分析。

五、解析并展示详细协议内容

启用详细输出模式，能够查看数据包内应用层的有效载荷，帮助识别具体请求内容。

1、使用 sudo tcpdump -A -s 0 host example.com 以 ASCII 格式打印数据部分。

2、添加 -X 参数可同时显示十六进制与 ASCII 内容：sudo tcpdump -X -s 0 port 53，适合 DNS 报文分析。

3、设置快照长度为 0（即完整捕获）确保不截断载荷：-s 0 是关键参数。

理论要掌握，实操不能落！以上关于《Linuxtcpdump抓包教程与技巧》的详细介绍，大家都掌握了吧！如果想要继续提升自己的能力，那么就来关注golang学习网公众号吧！