如何启用Linux网络嗅探 tcpdump抓包工具基础用法-linux运维-PHP中文网

如何启用Linux网络嗅探 tcpdump抓包工具基础用法

P粉602998670

发布： 2025-07-31 12:33:01

原创

346人浏览过

tcpdump 是 linux 下实用的网络嗅探工具，适合排查网络问题和分析流量。安装方式包括：1. debian/ubuntu 使用 sudo apt install tcpdump；2. centos/rhel 使用 sudo yum install tcpdump。基础命令如 sudo tcpdump -i eth0 可监听指定网卡流量，常用参数有 -nn 显示 ip 和端口、-c 指定抓包数量。抓包可保存为文件便于后续分析，使用 sudo tcpdump -i eth0 -w capture.pcap 保存数据包，支持限制包数或时间。过滤流量可通过 host 按 ip 过滤、port 按端口过滤，组合条件用 and、排除用 not，能有效提升分析效率。掌握这些基本用法即可满足多数日常需求。

如何启用Linux网络嗅探 tcpdump抓包工具基础用法

Linux 下的 tcpdump 是一个非常实用的网络嗅探工具，尤其适合排查网络问题、分析流量行为。如果你刚接触这个工具，可能会觉得参数有点复杂，但其实掌握几个基础用法就能满足大多数日常需求。

安装 tcpdump

大多数 Linux 发行版默认没有安装 tcpdump，你可以通过包管理器手动安装：

Debian/Ubuntu：
```
sudo apt install tcpdump
```
登录后复制
CentOS/RHEL：
```
sudo yum install tcpdump
```
登录后复制

安装完成后，输入 tcpdump --version 可以确认是否安装成功。

基础命令与抓包方式

最简单的使用方式是直接运行 tcpdump 并指定网卡接口，比如：

sudo tcpdump -i eth0

登录后复制

这会开始监听 eth0 接口上的所有流量，并实时打印出捕获的数据包信息。

注意：需要使用 sudo 才能捕获网络流量。

常用参数说明：

-i：指定监听的网卡接口（如 eth0, lo, wlan0 等）
-nn：不解析主机名和服务名，显示 IP 和端口号，加快输出速度
-c：指定捕获的数据包数量，例如 -c 10 表示只抓10个包后自动停止

举个例子：

sudo tcpdump -i eth0 -nn -c 5

登录后复制

这条命令会在 eth0 上抓取 5 个数据包，然后自动结束。

抓包保存到文件便于后续分析

如果你想把抓到的数据包保存下来，供以后分析或者发给别人看，可以用 -w 参数：

sudo tcpdump -i eth0 -w capture.pcap

登录后复制

这样就会把抓到的所有流量写入 capture.pcap 文件中。这个文件可以使用 Wireshark 或其他支持 pcap 格式的工具打开查看。

网易天音

网易出品！一站式音乐创作工具！零基础写歌！

查看详情

也可以加上时间限制或包数限制来控制抓包范围：

指定抓10个包后保存：
```
sudo tcpdump -i eth0 -c 10 -w capture.pcap
```
登录后复制
抓包持续30秒后自动停止（结合 timeout 命令）：
```
sudo timeout 30 tcpdump -i eth0 -w capture.pcap
```
登录后复制

过滤流量提升效率

如果直接抓全部流量，可能会混杂很多无关内容。可以通过过滤条件缩小范围：

按IP地址过滤：
```
sudo tcpdump host 192.168.1.100
```
登录后复制
按端口过滤：
```
sudo tcpdump port 80
```
登录后复制
组合过滤条件（如抓某个IP访问Web服务的流量）：
```
sudo tcpdump host 192.168.1.100 and port 80
```
登录后复制
排除特定流量（比如排除 SSH）：
```
sudo tcpdump not port 22
```
登录后复制