Wireshark

概述 凌晨两点，你被电话吵醒。订单系统大面积超时，但 CPU 正常、内存正常、磁盘 IO 正常。重启服务没用，回滚也没用。你盯着监控大盘，一切指标都是绿的，唯独用户在骂。 十有八九，是网络层面的问题。这时候你需要的是一双能看见数据包的眼睛。 tcpdump 就是这双眼睛。它不是什么新工具——1990 年代就有了——但到今天仍然是 Linux 上最硬核的网络诊断手段。说直白点：如果你只会看监控图表、不会抓包，那遇到网络层问题时你就是个瞎子。 这篇文章不讲花哨的概念，就讲实战：tcpdump 怎么抓、BPF 过滤器怎么写、pcap 文件怎么用 Wireshark 分析、TCP 三次握手和 TLS 握手在抓包里长什么样、以及那些我踩过坑才学会的技巧。 tcpdump 基础：先搞懂你在抓什么 什么是抓包 网卡收到的每一个数据帧，正常情况下只有操作系统内核会处理，用户态程序看不到原始内容。抓包就是把网卡的混杂模式（promiscuous mode）打开，让内核把所有流经网卡的数据包副本都交给抓包工具。 打个比方：正常情况下网卡像个只读收件箱的快递员，只把发给你的包裹送上门。开了混杂模式后，它变成监控摄像头，把整条街上经过的所有包裹都拍下来——不管是不是给你的。 tcpdump vs Wireshark：分工不同 对比维度 tcpdump Wireshark 运行环境 服务器命令行，SSH 即可 需要图形界面 资源占用 极低（几 MB 内存） 较高（GUI 程序） 核心能力 捕获+保存 pcap 深度协议解析+交互式分析 过滤语法 BPF（Berkeley Packet Filter） 显示过滤器（Display Filter） 适用场景 生产服务器实时抓包、长期后台捕获 本地分析 pcap 文件、协议细节排查 自动化 可写成脚本、对接告警 不适合自动化 实际工作中的标准流程：服务器上用 tcpdump 抓包保存成 pcap 文件，scp 下载到本地，用 Wireshark 打开分析。这个组合我在过去七年里用了不下五百次。 安装与权限 大多数 Linux 发行版预装了 tcpdump。检查一下：...