shell，sudo tcpdump -i [options]，`，，`为要监控的网络接口名称，如eth0、ens33等。CentOS 7网络抓包详解
在CentOS 7系统中，tcpdump是一个非常强大的命令行工具，用于捕获和分析网络流量，它通过libpcap库来抓取网络数据包，并提供了丰富的参数和表达式选项，以便用户能够精确地过滤和查看所需的网络数据，本文将详细介绍如何在CentOS 7中使用tcpdump进行网络抓包操作。
安装与基本使用
确保系统中已安装tcpdump，如果未安装，可以使用以下命令进行安装：
yum install tcpdump -y
安装完成后，可以通过以下命令查看其版本信息：
tcpdump --version
常用参数说明
-i [网卡]：指定要监听的网络接口。
-nn：以IP地址和端口号显示数据包，而不进行DNS解析。
-A：以ASCII格式显示数据包内容。
-X：以十六进制和ASCII格式显示数据包内容。
-c [数量]：设置捕获的数据包数量。
-w [文件]：将捕获的数据包保存到指定文件。
-r [文件]：从指定文件读取数据包。
-s [字节数]：设置每个数据包的捕获字节数。
--help：显示帮助信息。
示例操作
1. 监听特定网卡上的所有数据包
tcpdump -i eth0
这个命令会抓取经过eth0网卡的所有数据包，并以默认格式显示。
2. 抓取指定数量的数据包
tcpdump -i eth0 -c 10
此命令抓取eth0网卡上的前10个数据包后停止。
3. 抓取特定协议的数据包
tcpdump -i eth0 icmp
此命令仅抓取eth0网卡上ICMP协议的数据包，适用于分析ping操作等。
4. 抓取特定主机或端口的数据包
tcpdump -i eth0 host 192.168.1.1 and port 80
此命令抓取源或目的地址为192.168.1.1且端口为80的HTTP数据包。
5. 保存抓取的数据包到文件
tcpdump -i eth0 -w capture.pcap
此命令将抓取的数据包保存到capture.pcap文件中，便于后续分析。
6. 从文件读取数据包
tcpdump -r capture.pcap
此命令从capture.pcap文件中读取并显示数据包内容。
复杂过滤表达式
and（与）：多个条件同时满足。tcp and port 80。
or（或）：多个条件之一满足即可。host 192.168.1.1 or host 192.168.1.2。
not（非）：排除某些条件。not port 22。
常见问题解答
Q1: 如何只抓取TCP协议的数据包？
A1: 使用命令tcpdump tcp即可抓取所有TCP协议的数据包。
Q2: 如何抓取特定网卡上的HTTP流量？
A2: 使用命令tcpdump -i eth0 'tcp port 80'即可抓取eth0网卡上的所有HTTP流量。
Q3: 如何保存抓取的数据包并稍后分析？
A3: 使用命令tcpdump -i eth0 -w capture.pcap保存数据包，然后使用Wireshark等工具打开capture.pcap文件进行分析。
Q4: 如何抓取除某个端口外的所有其他端口的数据包？
A4: 使用命令tcpdump -i eth0 'not port 22'即可抓取除SSH（端口22）外的所有其他端口的数据包。
小编有话说
tcpdump作为Linux下常用的网络抓包工具，其功能强大且灵活多变，通过掌握其常用参数和表达式选项，我们可以高效地进行网络分析和故障排查，希望本文能帮助大家更好地理解和使用tcpdump工具，如果你在使用过程中遇到任何问题或有好的建议，欢迎随时留言交流！