网络类-tcpdump抓包

tcpdump 是 Linux 下常用的抓包工具，适合在服务器侧快速确认网络连通性、DNS 请求、ICMP 报文、端口流量和业务请求是否到达。这里整理基础格式、常用过滤表达式和几个业务排查场景。

安装和注意点

一般基础镜像里会自带 tcpdump，如果没有可以直接安装。

# CentOS / RHEL / Rocky / AlmaLinux
yum install -y tcpdump

# Ubuntu / Debian
apt install -y tcpdump

tcpdump -i eth0 -nn -Z root

tcpdump 格式

tcpdump 的基础格式可以理解为：前面是控制参数，后面是抓什么流量的 BPF 过滤表达式。

tcpdump [基础控制参数] '[BPF 过滤表达式]'

1. 基础控制参数

查看可抓包网卡

tcpdump -D
ip link

如果不确定流量走哪张网卡，可以先用 -i any 粗看，再切到具体网卡精确抓包。

BPF 过滤表达式

BPF 过滤表达式一般建议用单引号包起来，避免 shell 对特殊字符做额外解释。过滤条件通常围绕 IP、网段、端口和协议展开。

1. IP 类过滤

# 抓取 eth0 网卡下，源地址为 192.168.1.100 的报文
tcpdump -i eth0 -nn -vvv 'src 192.168.1.100'

# 抓取 eth0 网卡下，目的地址为 10.0.0.5 的报文
tcpdump -i eth0 -nn -vvv 'dst 10.0.0.5'

# 抓取 eth0 网卡下，和 192.168.1.1 有关的报文
tcpdump -i eth0 -nn -vvv 'host 192.168.1.1'

# 抓取 eth0 网卡下，和 192.168.1.0/24 网段有关的报文
tcpdump -i eth0 -nn -vvv 'net 192.168.1.0/24'

2. 端口和协议过滤

# 源端口为 80
tcpdump -i eth0 -nn -vvv 'src port 80'

# 目的端口为 443
tcpdump -i eth0 -nn -vvv 'dst port 443'

# 端口范围 10000-20000
tcpdump -i eth0 -nn -vvv 'portrange 10000-20000'

# 抓取 TCP 80 端口
tcpdump -i eth0 -nn -vvv 'tcp port 80'

# 抓取 UDP 53 端口
tcpdump -i eth0 -nn -vvv 'udp port 53'

# 抓取 ICMP
tcpdump -i eth0 -nn -vvv 'icmp'

3. 条件组合

常用逻辑条件有 and、or、not。复杂条件建议加括号，方便后续自己回看。

# 源地址为 192.168.1.100，且 TCP 端口为 80 的报文
tcpdump -i eth0 -nn -vvv 'src 192.168.1.100 and tcp port 80'

# 抓取 80 或 443 端口
tcpdump -i eth0 -nn -vvv 'tcp port 80 or tcp port 443'

# 排除 SSH，避免远程连接刷屏
tcpdump -i eth0 -nn -vvv 'not port 22'

# 抓取某个主机访问 80/443 的报文
tcpdump -i eth0 -nn -vvv 'host 192.168.1.100 and (tcp port 80 or tcp port 443)'

业务场景

1. 极简模式快速观察流量

使用 -q 可以快速观察 eth0 的出入站 IP 组合和协议栈，适合先判断有没有流量、流量大概从哪里来、到哪里去。

tcpdump -i eth0 -nn -q -c 1000

2. 观察 DNS 请求

观察 eth0 的 DNS 请求是否正常，或者当前机器正在解析哪些域名。DNS 常用 UDP 53，也可能存在 TCP 53。

# 常见 DNS 查询
tcpdump -i eth0 -nn 'udp port 53'

# 同时观察 UDP/TCP 53
tcpdump -i eth0 -nn 'port 53'

3. 观察 ICMP 连通性

排查连通性时，可以一边开一个 shell 长 ping，另一边用 tcpdump 抓 ICMP，看请求和回包是否都能看到。

tcpdump -i eth0 -nn 'icmp'

ICMP 常见类型

4. 抓取业务端口并保存 pcap

如果终端输出看不清，或者要给别人分析，可以直接写入 pcap 文件，再传到 PC 端用 Wireshark 打开。

# 抓取 eth0 上 80/443 端口流量，保存为 pcap
tcpdump -i eth0 -nn -s 0 -c 5000 -w web.pcap 'tcp port 80 or tcp port 443'

# 读取 pcap 文件
tcpdump -nn -r web.pcap

常用补充

1. 先确认流量是否到机器

很多业务排障可以先用 tcpdump 判断“包有没有到机器”。如果包没到，优先看上游路由、安全组、防火墙、负载均衡；如果包到了但业务无响应，再看本机防火墙、监听端口、服务日志。

# 查看服务是否监听
ss -tlnp

# 抓取访问某个业务端口的流量
tcpdump -i eth0 -nn 'tcp port 8080'

2. 排除 SSH 连接干扰

远程登录服务器时，抓包容易把自己的 SSH 流量也抓出来。可以排除 22 端口，输出会干净很多。

tcpdump -i eth0 -nn 'not port 22'

3. any 网卡和具体网卡的区别

-i any 适合先粗略判断有没有流量，但它不一定保留完整二层信息。需要更精确分析时，建议切到具体网卡，例如 eth0、ens33、bond0。