tcpdump是Linux下强大的命令行抓包工具，通过指定网卡、过滤条件和保存数据包可有效分析网络问题。首先使用sudo tcpdump -i eth0监听指定接口流量，结合-nn、-c、-s0、-w等参数控制输出格式与保存行为。实际排查中常用host、port、proto及逻辑组合（and/or/not）精确过滤流量。例如排查连接超时问题时，抓取8080端口发现客户端发SYN后服务端回RST，表明服务未监听或防火墙拦截，需用ss或netstat确认监听状态，并通过icmp过滤查看是否被丢包。复杂场景建议用-w debug.pcap保存完整数据包，后续用Wireshark或-r参数回放分析TCP握手、重传等细节。熟练掌握标志位与常见过滤语法，避免权限或网卡选择错误，多加练习即可高效定位网络故障。
抓包是排查网络问题的重要手段，tcpdump 是 Linux 下最强大的命令行抓包工具之一。它能捕获经过网卡的数据包，并以可读格式显示协议内容，帮助我们分析网络通信行为。下面结合实战场景，介绍如何使用 tcpdump 进行有效抓包与分析。
一、tcpdump 基础用法
安装 tcpdump（大多数系统默认已安装）：
sudo apt install tcpdump # Debian/Ubuntusudo yum install tcpdump # CentOS/RHEL
查看可用网卡：
tcpdump -D监听指定网卡（如 eth0）上的所有流量：
sudo tcpdump -i eth0常用参数说明：
- -i interface：指定监听的网络接口
- -n：不解析主机名，直接显示 IP 地址
- -nn：不解析端口名称（如 http → 80）
- -c N：只抓取 N 个数据包后退出
- -s snaplen：设置抓包长度（默认 262144 字节足够）
- -w file.pcap：将数据包保存到文件，供 Wireshark 分析
- -r file.pcap：读取已保存的抓包文件
二、按条件过滤抓包
实际调试中不可能抓全部流量，需通过过滤表达式精准定位问题。
1. 按主机过滤：tcpdump host 192.168.1.100tcpdump src host 192.168.1.100 tcpdump dst host 192.168.1.200
2. 按协议过滤：tcpdump icmptcpdump tcptcpdump udp
3. 按端口过滤：tcpdump port 80tcpdump src port 53tcpdump dst port 443
4. 组合条件（and/or/not）：tcpdump tcp and port 80 and host 192.168.1.100tcpdump udp and (port 53 or port 123)tcpdump not ssh
三、实战：分析连接超时或拒绝问题
假设服务部署在本机 8080 端口，客户端无法访问。
1. 抓取本地 8080 的 TCP 流量：sudo tcpdump -i any -nn -c 10 'tcp port 8080'
观察输出示例：
14:22:10.123500 IP 192.168.1.200.8080 > 192.168.1.100.54321: Flags [R.], seq 0, ack 12346, win 0, length 0
这里看到客户端发了 SYN（[S]），服务端回了 RST（[R.]），说明端口未开放或服务未监听。
2. 检查服务是否监听：ss -tulnp | grep 8080netstat -an | grep 8080
若无监听，则启动服务或检查配置；若有监听但仍被拒绝，可能是防火墙拦截。
3. 查看是否有防火墙丢包：sudo tcpdump -i any -n icmp
如果 ping 不通且出现大量 ICMP "Destination unreachable"，则可能是 iptables/drop 规则导致。
四、保存并分析 pcap 文件
复杂问题建议保存原始包用于深入分析。
保存抓包数据：sudo tcpdump -i eth0 -nn -s0 -w debug.pcap host 10.0.0.10 and port 80
说明：-s0 表示抓完整包（避免截断），-w 写入文件。
用 Wireshark 打开：wireshark debug.pcap &
也可用 tcpdump 回放：
tcpdump -nn -r debug.pcap在 Wireshark 中可查看 TCP 三次握手、重传、延迟、RTT 等详细信息，适合分析性能问题。
基本上就这些。掌握 tcpdump 的基本语法和常见过滤方式，再结合具体场景灵活运用，就能快速定位多数网络问题。关键是学会看标志位（SYN、ACK、FIN、RST）、源目地址和端口变化。不复杂但容易忽略细节，比如忘记加 sudo 或选错网卡。多练几次，自然熟练。
