前言

用简单的话来定义tcpdump，就是：dump the traffic on a network，根据使用者的定义对网络上的数据包进行截获的包分析工具。 tcpdump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

说到这个tcpdump命令，就不得不提自己参加的中国移动内蒙古分公司第三代CRM系统的开发与实施。如果没有记错的话，那应该是2016年，自己单独负责整个10086客服系统自助渠道的整体改造工作；在系统压测阶段，调用接口平台时，总是出现超时现象。后来这个问题越来越严重，同时短厅渠道、CBOSS渠道也反馈有这个问题，这时这个问题就引起了大BOSS的注意，然后就是各方专家会诊。在这种大型项目中，专家会诊，都有一个特色，就是专家指挥，小弟干活，而我那个时候，就是那个小弟。

好吧，专家发话了，抓包先。这就开始了我的抓包工作，开始了我对tcpdump的全面理解。

首先需要说的是，这个tcpdump是一个非常功能强大的命令，功能强大，那也就意味着这个命令的使用是非常复杂的，也就是说，我接下来整理的内容也会是非常多的。如果你想去掌握整个tcpdump命令的话，就需要你稍微有点耐心去把整篇文章读完。OK,Let's go!

命令简介

tcpdump是一款强大的网络抓包工具，运行在Linux平台上。熟悉tcpdump的使用能够帮助我们分析、调试网络数据。但是要想很好地掌握tcpdump， 就必须对网络报文（TCP/IP协议）有一定的了解。不过对于简单的使用来说，只要有网络基础概念就行了。

作为互联网上经典的的系统管理员必备工具，tcpdump以其强大的功能，灵活的截取策略，成为每个高级的系统管理员分析网络，排查问题等所必备的工具之一。在实际工作中，需要以root权限去执行该命令。

tcpdump是一个很复杂的命令，想了解它的方方面面非常不易，也不值得推荐，能够使用它解决日常工作中的问题才是关键，所以，以下的总结我将更侧重于从实际工作出发，整理一些实际工作中经常用到的用法，对于一些冷门用法，我这里基本不会涉及，如果日后在工作中用到了，我这里也会更新进来。

命令详解
下面就先对tcpdump一些常用的选项进行总结。

-s number：tcpdump默认只会截取前96字节的内容，要想截取所有的报文内容，就需要使用这个选项，其中number是需要截取的报文字节数，如果是0的话，表示截取报文全部内容； -nn：表示不解析域名，直接显示IP，在netstat命令中，也有这个选项； -X：同时使用hex和ascii显示报文内容； -S：显示绝对的序列号（sequence number），而不是相对编号； -i：指定监听的网卡，如果为-i any则表示监听所有的网卡； -v，-vv，-vvv：显示更多的详细信息； -c number：表示截取number个报文，然后结束； -w：将监听到的数据包写入文件中保存，而并不分析和打印出来； -A：只使用ascii打印报文的全部数据，不要和-X选项一起使用。截取HTTP请求的时候可以用sudo tcpdump -nSA port 80

虽然tcpdump命令的选项特别多，但是常用的选项也就上面那几个，我这里将更多的把注意力放在使用实例上，通过使用实例来学习tcpdump这个命令。

过滤器

先进行使用实例详解时，有必要先掌握tcpdump一些基本的使用理论知识，先来说说过滤器。

在服务器上的网络报文是异常的多，很多时候我们只关注和具体问题有关的数据报文，而这些有用的报文只占到很小的一部分，为了不让我们在报文的海洋里迷失自己，我们就非常有必要学习一下tcpdump提供的灵活而且功能强大的过滤器。

过滤器也可以简单地分为三类：type，dir和proto。