认识tcpdump抓包与常用过滤条件
tcpdump 是 Linux 系统中最经典的命令行抓包工具，其底层依赖 libpcap 库直接调用内核网络栈的 PF_PACKET 套接字，从而在数据链路层或网络层捕获原始报文。执行抓包前，必须确保当前用户具备 root 权限或使用 sudo，否则无法访问底层网络接口。通过 tcpdump -D 可列出系统所有可用网卡，使用 -i eth0 指定监听特定接口。默认情况下 tcpdump 会捕获该网卡上的所有流量，数据量极大，因此需借助 BPF（Berkeley Packet Filter）语法进行精准过滤。核心过滤条件包括：host 192.168.1.100 匹配指定 IP 的双向流量；src host 与 dst host 分别限定源与目的地址；port 80 过滤特定端口；tcp、udp、icmp 则按协议类型筛选。例如，执行 tcpdump -i eth0 host 10.0.0.5 and port 443 即可仅抓取与该 IP 的 HTTPS 通信。掌握这些基础条件后，运维人员便能从海量报文中快速收敛排查范围，为后续深度分析奠定基础。
组合过滤规则精准定位网络流量
单一过滤条件往往难以应对复杂网络环境，tcpdump 支持通过逻辑运算符 and（或 &&）、or（或 ||）、not（或 !）以及括号 () 构建复合 BPF 表达式。例如，要抓取除 192.168.1.1 之外所有访问 80 或 443 端口的 TCP 流量，可执行：tcpdump -i eth0 not src host 192.168.1.1 and tcp and \( port 80 or port 443 \)。括号用于明确运算优先级，避免逻辑歧义。在实际操作中，合理搭配常用参数能大幅提升抓包效率：-n 禁止将 IP 解析为主机名，-nn 进一步禁止端口号解析为服务名，避免 DNS 查询延迟干扰抓包；-c 100 限制捕获 100 个包后自动退出；-s 0 设置抓取完整报文长度（默认仅截取前 96 字节），确保后续分析不丢失关键载荷。通过组合规则与参数调优，可精准剥离无关背景流量，直击目标通信链路。
保存pcap文件并用Wireshark展开分析
命令行抓包虽高效，但缺乏直观的协议解析能力，通常需将数据保存为 pcap 格式后导入 Wireshark 进行图形化分析。使用 -w capture.pcap 参数即可将原始二进制流写入文件，例如 tcpdump -i eth0 -nn -w /tmp/app_traffic.pcap port 8080。抓包完成后，将文件传输至本地并双击打开 Wireshark。界面主要分为三部分：顶部为数据包列表，显示序号、时间、源/目的地址、协议及长度；中部为协议详情树，逐层展开以太网帧、IP 头、TCP/UDP 头及应用层载荷；底部为十六进制与 ASCII 对照视图。利用显示过滤器（如 http.request.method == "POST" 或 dns.qry.name contains "api"）可快速定位特定会话。通过右键选择 Follow TCP Stream，还能完整还原 HTTP 请求与响应内容，实现从底层字节到业务语义的无缝映射。
从TCP数据包定位常见网络故障
借助 Wireshark 对 tcpdump 采集的 pcap 文件进行深度解码，可直观识别 TCP 通信中的典型异常。正常的连接建立表现为三次握手：客户端发送 SYN，服务端回复 SYN+ACK，客户端再回 ACK。若仅见 SYN 而无响应，通常指向防火墙拦截或目标服务未监听；若出现大量 TCP Retransmission（重传）或 Duplicate ACK（重复确认），表明网络存在丢包或乱序，需结合时间戳计算 RTT 波动。当连接被强制中断时，会捕获到 RST 标志位，常见于服务端进程崩溃或安全策略主动拒绝。对于 DNS 异常，可过滤 dns.flags.rcode == 2 查看 NXDOMAIN 响应，或观察查询超时导致的重复请求。通过对比源/目的 IP、端口及时间轴，运维人员能准确判断故障发生在客户端、中间链路还是服务端，从而制定针对性修复策略。
抓包验证、过滤避坑与安全注意事项
实际排障中常遇到抓不到包或数据不全的困境，多由过滤条件过严、网卡选错（如误抓 lo 而非业务网卡）或权限不足导致。若 tcpdump 输出为空，应先移除所有过滤条件执行基础抓包，确认链路确有流量；若怀疑 DNS 解析拖慢终端输出，务必添加 -nn 参数。此外，生产环境抓包需严格遵循数据安全规范：避免明文捕获含密码、Token 或用户隐私的 HTTP 或数据库流量，必要时使用 -w 仅保存脱敏后的 pcap，并在分析完成后立即安全擦除。验证阶段建议采用双轨对照法：先用 tcpdump 命令行快速验证过滤逻辑是否生效，再将生成的 pcap 导入 Wireshark 交叉核对协议树与统计信息。通过标准化流程与权限管控，可在保障业务连续性的前提下高效完成网络诊断。
