tcpdump 抓包速查

常用命令

tcpdump -i any -nn
tcpdump -i eth0 -nn host 10.0.0.10
tcpdump -i any -nn port 443
tcpdump -i any -nn tcp and port 80
tcpdump -i any -nn -c 100
tcpdump -i any -nn -s 0 -w capture.pcap
tcpdump -r capture.pcap -nn
tcpdump -i any -nn -A port 80
tcpdump -i any -nn -X port 80
tcpdump -i any -nn 'tcp[tcpflags] & tcp-syn != 0'
tcpdump -i any -nn 'net 10.0.0.0/8 and not port 22'
tcpdump -i any -nn -G 60 -W 10 -w trace-%Y%m%d-%H%M%S.pcap

常用过滤

易错点

• 抓包需要 root 或 CAP_NET_RAW；容器里常缺权限。
• -s 0 抓完整包；默认 snaplen 可能截断 payload。
• -w 写文件时不要同时加 -A/-X，输出会混在一起。
• 高流量抓包会占磁盘和 CPU；用 -c、-G/-W 限制。
• -i any 在部分内核上看到的链路层信息不同，排查时结合具体接口。
• TLS 流量只能看到握手和元数据；payload 需要密钥或应用日志。
• 时间戳要和服务器时钟对齐，否则跨机排查会对不上。

相关命令

• tcpdump — 完整命令页
• tshark — 更强大的解析
• ss — 套接字状态