tcpdump是Linux下强大的命令行抓包工具，可用于分析网络通信问题。首先通过sudo apt install tcpdump安装，使用tcpdump -i any -D查看可用接口。基本抓包命令为sudo tcpdump -i eth0，可实时显示数据包信息，按Ctrl+C停止并生成统计。为避免数据过多，可用-c参数限制数量，如sudo tcpdump -i eth0 -c 10。使用-w参数将数据保存为pcap文件，如sudo tcpdump -i eth0 -c 100 -w capture.pcap，便于后续用Wireshark等工具分析。通过-r参数读取已保存文件，如tcpdump -r capture.pcap。支持过滤表达式，如host 192.168.1.100过滤特定IP，port 80过滤端口，src 192.168.1.100 and dst port 443组合条件过滤源IP和目标端口流量，提升排查效率。
如果您需要分析网络通信问题或排查可疑流量，可以通过抓取网络数据包来获取详细信息。tcpdump 是 Linux 系统中一个强大的命令行网络抓包工具，能够捕获经过网卡的数据包并显示其内容。
本文运行环境：Dell XPS 13，Ubuntu 22.04
一、安装 tcpdump 工具
在使用 tcpdump 前，需确保系统已安装该工具。大多数 Linux 发行版默认未安装 tcpdump，可通过包管理器进行安装。
1、打开终端，执行以下命令安装 tcpdump：
sudo apt install tcpdump
2、安装完成后，输入 tcpdump --version 验证是否安装成功。
二、查看可用网络接口
在开始抓包前，需要确认目标网络接口的名称，以便指定从哪个接口捕获数据包。
1、运行以下命令列出所有可监听的网络接口：
tcpdump -i any -D
2、根据输出结果选择要监听的接口，例如 eth0 或 wlan0。
三、基本抓包操作
最简单的抓包方式是直接监听指定接口上的所有流量，适用于快速查看网络活动。
1、使用以下命令开始捕获指定接口的数据包：
sudo tcpdump -i eth0
2、此时会实时显示经过 eth0 接口的数据包信息，包括时间、源地址、目标地址、协议和部分数据内容。
3、按 Ctrl+C 中断抓包过程，并生成统计摘要。
四、限制抓包数量
为避免捕获过多数据导致难以分析，可以设置最大捕获包数，完成指定数量后自动停止。
1、使用 -c 参数指定要捕获的数据包数量：
sudo tcpdump -i eth0 -c 10
2、该命令将仅捕获前 10 个数据包，随后自动结束并返回控制台。
五、保存抓包数据到文件
将捕获的数据保存为文件，便于后续使用 Wireshark 等工具深入分析。
1、使用 -w 参数将原始数据包写入文件：
sudo tcpdump -i eth0 -c 100 -w capture.pcap
2、生成的 capture.pcap 文件可在本地用 tcpdump -r 或图形化工具打开。
六、读取已保存的抓包文件
通过读取 pcap 格式的文件，可以离线查看之前捕获的网络流量内容。
1、使用 -r 参数读取指定的 pcap 文件：
tcpdump -r capture.pcap
2、命令将逐条显示文件中的数据包信息，支持结合过滤条件进一步筛选。
七、使用过滤表达式抓取特定流量
为了提高效率，可利用过滤规则只捕获感兴趣的流量，如特定主机、端口或协议。
1、仅捕获与某 IP 地址相关的流量：
sudo tcpdump host 192.168.1.100
2、仅捕获某个端口的 TCP 流量：
sudo tcpdump port 80
3、组合条件捕获来自某 IP 并访问特定端口的流量：
sudo tcpdump src 192.168.1.100 and dst port 443
