【tcpdump】一、
tcpdump 是一个在命令行下运行的网络数据包捕获工具，广泛用于 Linux 和 Unix 系统中。它能够实时抓取和分析网络流量，适用于网络故障排查、安全审计、协议分析等场景。通过设置不同的参数，用户可以过滤特定的 IP 地址、端口、协议等，从而精准获取所需的数据包信息。
tcpdump 的功能强大且灵活，支持多种输出格式，包括原始数据包内容、统计信息、时间戳等。虽然其使用门槛略高，但掌握基本命令后，能极大提升网络管理与分析的效率。
二、表格：tcpdump 常用命令及说明
| 命令 | 说明 |
| `tcpdump` | 捕获所有接口上的所有数据包（需 root 权限） |
| `tcpdump -i eth0` | 在 eth0 接口上捕获数据包 |
| `tcpdump -n` | 不解析主机名和端口号，加快速度 |
| `tcpdump -nn` | 不解析主机名和端口号，不解析协议名称 |
| `tcpdump -c 10` | 只捕获 10 个数据包后退出 |
| `tcpdump port 80` | 捕获目标或源端口为 80 的数据包 |
| `tcpdump src 192.168.1.1` | 捕获源地址为 192.168.1.1 的数据包 |
| `tcpdump dst 192.168.1.1` | 捕获目的地址为 192.168.1.1 的数据包 |
| `tcpdump host 192.168.1.1` | 捕获与 192.168.1.1 相关的所有数据包 |
| `tcpdump tcp` | 捕获 TCP 协议的数据包 |
| `tcpdump udp` | 捕获 UDP 协议的数据包 |
| `tcpdump icmp` | 捕获 ICMP 协议的数据包 |
| `tcpdump -w file.pcap` | 将捕获的数据包保存到文件中 |
| `tcpdump -r file.pcap` | 从文件中读取并显示数据包 |
| `tcpdump -s 0` | 捕获完整数据包（默认只捕获前 68 字节） |
三、使用建议
- 权限问题：大多数情况下需要 root 权限才能捕获网络流量，可通过 `sudo tcpdump ...` 执行。
- 性能影响：在高流量环境中使用时，可能会影响系统性能，建议合理设置过滤条件。
- 安全性：捕获的数据包可能包含敏感信息，应妥善处理和存储。
- 结合 Wireshark：将 `.pcap` 文件导入 Wireshark 进行更详细的图形化分析。
四、适用人群
- 系统管理员
- 网络工程师
- 安全研究人员
- 开发人员（调试网络应用）
五、总结
tcpdump 是一款轻量级但功能强大的网络抓包工具，适合用于日常网络监控和问题排查。掌握其常用命令和参数，能够显著提高网络分析的效率和准确性。对于初学者来说，建议从简单命令入手，逐步深入学习高级用法。