Linux 网络抓包与协议分析：从 tcpdump 到 Wireshark 的实战排障指南

which tcpdump || echo "未安装"
tcpdump --version

# Debian/Ubuntu
sudo apt-get install -y tcpdump

# CentOS/RHEL
sudo yum install -y tcpdump

# 创建专用 sudoers 配置
sudo visudo -f /etc/sudoers.d/tcpdump

# 内容：允许 ops 组的成员免密运行 tcpdump
%ops ALL=(root) NOPASSWD: /usr/sbin/tcpdump

# 最常用的生产抓包命令
sudo tcpdump -i eth0 -nn -s 0 -w capture.pcap

# 实时看 HTTP 流量（仅文本协议适用）
sudo tcpdump -i eth0 -nn -A -s 0 'tcp port 80'

# 抓 1000 个包就停
sudo tcpdump -i eth0 -nn -c 1000 -w capture.pcap

# 按小时轮转，最多保留 24 个文件
sudo tcpdump -i eth0 -nn -s 0 -G 3600 -W 24 -w /var/log/tcpdump/capture_%Y%m%d_%H.pcap

类型   方向   协议   值
host   src    tcp    192.168.1.100

# 抓特定主机的所有流量
sudo tcpdump -i eth0 -nn host 10.0.0.5

# 抓源 IP 为 10.0.0.5 的流量
sudo tcpdump -i eth0 -nn src host 10.0.0.5

# 抓目的端口为 443 的 TCP 流量
sudo tcpdump -i eth0 -nn 'tcp dst port 443'

# 抓两个主机之间的通信
sudo tcpdump -i eth0 -nn 'host 10.0.0.5 and host 10.0.0.6'

# 抓 DNS 查询（UDP 53）
sudo tcpdump -i eth0 -nn 'udp port 53'

# 抓 ICMP（ping）
sudo tcpdump -i eth0 -nn icmp

# 排除 SSH 自身的流量（避免抓包产生循环）
sudo tcpdump -i eth0 -nn 'not port 22'

# 抓特定网段
sudo tcpdump -i eth0 -nn 'net 10.0.0.0/24'

# 组合过滤：10.0.0.5 到 10.0.0.6 的 443 端口流量
sudo tcpdump -i eth0 -nn 'host 10.0.0.5 and host 10.0.0.6 and tcp port 443'

# 只抓 SYN 包（看谁在发起连接）
sudo tcpdump -i eth0 -nn 'tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack == 0'

# 只抓 RST 包（连接被重置）
sudo tcpdump -i eth0 -nn 'tcp[tcpflags] & tcp-rst != 0'

# 只抓 FIN 包（谁在关闭连接）
sudo tcpdump -i eth0 -nn 'tcp[tcpflags] & tcp-fin != 0'

# 抓大于 1400 字节的包（排查大包分片问题）
sudo tcpdump -i eth0 -nn 'greater 1400'

# 抓小于 60 字节的包（可能是异常的 ACK 包）
sudo tcpdump -i eth0 -nn 'less 60'

# 错误写法——shell 会吃掉括号
sudo tcpdump -i eth0 host 10.0.0.5 and (port 80 or port 443)

# 正确写法——用引号包裹
sudo tcpdump -i eth0 'host 10.0.0.5 and (port 80 or port 443)'

# 保险写法
sudo tcpdump -i eth0 -nn 'not port 22 and not port 53' -w capture.pcap

# 安全的生产抓包方案
sudo mkdir -p /var/log/tcpdump
sudo tcpdump -i eth0 -nn -s 0 \
  -G 300 -W 48 \
  -w /var/log/tcpdump/capture_%Y%m%d_%H%M%S.pcap \
  'host 10.0.0.5 and tcp port 443'

# -G 300：每 5 分钟轮转一个文件
# -W 48：最多保留 48 个文件（4 小时）
# 过滤特定主机和端口，不会抓到无关流量

# -s 0 表示不截断，抓完整包
sudo tcpdump -i eth0 -nn -s 0 -w tls_capture.pcap 'tcp port 443'

# 步骤1：服务器上抓包
sudo tcpdump -i eth0 -nn -s 0 -w /tmp/capture.pcap 'host 10.0.0.5 and tcp port 443'

# 步骤2：下载到本地
scp user@server:/tmp/capture.pcap ./

# 步骤3：本地用 Wireshark 打开
wireshark capture.pcap &

# 远程抓包，本地直接用 Wireshark 打开
ssh user@server 'sudo tcpdump -i eth0 -nn -s 0 -w - "host 10.0.0.5"' | wireshark -k -i -

# 只看 HTTP 请求
http.request

# 只看 TLS 握手
tls.handshake

# 只看 TCP 重传
tcp.analysis.retransmission

# 只看 TCP 重复 ACK
tcp.analysis.duplicate_ack

# 查看特定 HTTP 路径
http.request.uri contains "api/order"

# 查看特定 TCP 流
tcp.stream eq 42

# 查看连接重置
tcp.flags.reset == 1

10:30:01.123456 IP 10.0.0.5.54321 > 10.0.0.6.443: Flags [S], seq 1234567890, win 64240, [mss 1460,sackOK,TS val 1234567890 ecr 0,nop,wscale 7], length 0
10:30:01.123567 IP 10.0.0.6.443 > 10.0.0.5.54321: Flags [S.], seq 9876543210, ack 1234567891, win 65160, [mss 1460,sackOK,TS val 9876543210 ecr 1234567890,nop,wscale 7], length 0
10:30:01.123578 IP 10.0.0.5.54321 > 10.0.0.6.443: Flags [.], ack 9876543211, win 502, length 0

sudo tcpdump -i eth0 -nn 'tcp[tcpflags] & tcp-syn != 0' -c 100

# 抓 TLS 握手流量
sudo tcpdump -i eth0 -nn -s 0 -w tls.pcap 'tcp port 443'

# 用 tshark 解析 TLS 证书
tshark -r tls.pcap -Y "tls.handshake.type == 11" -T fields -e tls.handshake.certificate

tshark -r tls.pcap -Y "tls.handshake.type == 1" -T fields -e tls.handshake.extensions_server_name

sudo tcpdump -i eth0 -nn -A -s 0 'tcp port 80 and host 10.0.0.5'

GET /api/v1/orders?status=pending HTTP/1.1
Host: order-service.internal
User-Agent: curl/7.81.0
Accept: */*
Connection: keep-alive

HTTP/1.1 200 OK
Content-Type: application/json
Content-Length: 142

{"orders": [...]}

sudo tcpdump -i eth0 -nn -l 'udp port 53' | grep -E 'A\?|AAAA\?'

# 抓 DNS 查询和响应
sudo tcpdump -i eth0 -nn 'udp port 53' -c 20

12:30:01.123 IP 10.0.0.5.43210 > 8.8.8.8.53: 45231+ A? api.example.com. (33)
12:30:01.156 IP 8.8.8.8.53 > 10.0.0.5.43210: 45231 2/0/0 A 93.184.216.34, A 93.184.216.35 (69)

# 在 B 服务所在机器抓包
sudo tcpdump -i eth0 -nn -s 0 -w 502.pcap 'host <A的IP> and tcp port 8080'

# 双向抓包
sudo tcpdump -i eth0 -nn -s 0 -w latency.pcap 'host <上海机房IP>'

# 抓 ARP 包
sudo tcpdump -i eth0 -nn arp

14:20:01 IP (via eth0) arp who-has 10.0.0.1 tell 10.0.0.5
14:20:01 IP (via eth0) arp reply 10.0.0.1 is-at 00:11:22:33:44:55  ← 正常网关MAC
14:20:03 IP (via eth0) arp reply 10.0.0.1 is-at 66:77:88:99:aa:bb  ← 异常MAC！

# 安装
sudo apt-get install -y tshark   # Debian/Ubuntu
sudo yum install -y wireshark     # CentOS/RHEL（包含 tshark）

# 统计 pcap 中的协议分布
tshark -r capture.pcap -q -z io,phs

# 提取所有 HTTP 请求的 URL
tshark -r capture.pcap -Y "http.request" -T fields -e http.host -e http.request.uri

# 统计 TCP 重传
tshark -r capture.pcap -Y "tcp.analysis.retransmission" | wc -l

# 查看 TLS SNI
tshark -r capture.pcap -Y "tls.handshake.type == 1" -T fields -e tls.handshake.extensions_server_name

# 统计各 IP 的包数量（Top 10）
tshark -r capture.pcap -q -z conv,ip | sort -t'|' -k1 -rn | head -10

# 安装
sudo apt-get install -y ngrep

# 抓包含 "error" 的 HTTP 流量
sudo ngrep -d eth0 -W byline 'error' 'tcp port 80'

# 抓包含特定 token 的请求
sudo ngrep -d eth0 -W byline 'Authorization: Bearer eyJ...' 'tcp port 443'

# 查看与 10.0.0.6 的所有连接
ss -tn state established '( dst 10.0.0.6 )'

# 查看 TIME-WAIT 状态的连接数量
ss -tn state time-wait | wc -l

# 查看 SYN-RECV 状态的连接（可能遭受 SYN flood）
ss -tn state syn-recv | wc -l

# 用 dropwatch 看 BPF 过滤丢包情况
sudo dropwatch -l kas

# 如果看到大量 "kfree_skb" 在 __netif_receive_skb_core，
# 说明内核在 BPF 过滤前就丢包了，需要降低抓包量

# 在 K8s Pod 中抓包（需要 hostNetwork 或特权模式）
kubectl exec -it <pod> -- tcpdump -i eth0 -nn -c 100

# 在宿主机上抓 Pod 流量
# 先找到 Pod 的 veth pair
kubectl get pod <pod> -o jsonpath='{.status.podIP}'
# 然后在宿主机上抓这个 IP 的流量
sudo tcpdump -i eth0 -nn 'host <pod-IP>'

# 显示完整日期时间
sudo tcpdump -i eth0 -nn -tttt

# 输出：2026-07-14 10:30:01.123456 IP ...