概述
tcpdump 透過監控網路介面來擷取和解釋封包標頭。您可以使用各種過濾表達式選擇性地查看所需的流量，並將擷取的資料顯示到標準輸出或儲存到 `.pcap` 檔案。
主要功能
- 即時監控網路介面
- 擷取各種協定（TCP、UDP、ICMP 等）的封包
- 支援強大的過濾表達式
- 將擷取的資料儲存到檔案並載入
- 診斷網路問題和安全分析
主要選項
tcpdump 提供眾多選項，可讓您精確控制擷取行為、過濾和輸出格式。
擷取控制
輸出格式
過濾表達式
生成的命令：
請試著組合命令。
這個 Django 應用程序是一個技術指南文檔，旨在為用戶輕鬆解釋 Linux 的各種命令。
`tcpdump` 執行命令。
請將上述選項組合在一起，與 AI 一同虛擬執行命令。
使用範例
展示 tcpdump 的各種用法。大多數情況下需要 root 權限。
從所有介面擷取封包（預設）
sudo tcpdump從所有作用中的介面擷取封包並即時顯示。按 `Ctrl+C` 停止。
從特定介面擷取
sudo tcpdump -i eth0擷取 eth0 介面上發生的所有流量。
擷取特定主機的流量
sudo tcpdump host 192.168.1.100擷取與 IP 位址 192.168.1.100 相關的所有流量。
擷取特定埠的 TCP 流量
sudo tcpdump tcp port 80僅擷取 Web 伺服器（HTTP）流量，即埠號 80 的 TCP 封包。
組合來源 IP 和目標埠進行過濾
sudo tcpdump src host 192.168.1.50 and dst port 22擷取來源 IP 為 192.168.1.50 且目標埠為 22（SSH）的流量。
將擷取的封包儲存到檔案
sudo tcpdump -i eth0 -c 100 -w capture.pcap將從 eth0 介面擷取的封包儲存到 `capture.pcap` 檔案。使用 `-c 100` 僅儲存 100 個封包。
從儲存的檔案讀取封包
tcpdump -r capture.pcap讀取先前儲存的 `capture.pcap` 檔案內容並顯示。
僅顯示 IP 位址和埠號（不轉換名稱）
sudo tcpdump -nn不轉換主機名稱和服務名稱，僅以數字形式顯示 IP 位址和埠號，以便快速查看。
安裝
tcpdump 可能未預設安裝在大多數 Linux 發行版中，或在最小安裝時不包含。您可以使用以下命令進行安裝。
Debian/Ubuntu
sudo apt update
sudo apt install tcpdump使用 APT 套件管理器安裝 tcpdump。
CentOS/RHEL/Fedora
sudo yum install tcpdump # 或 dnf install tcpdump使用 YUM 或 DNF 套件管理器安裝 tcpdump。
提示與注意事項
有效使用 tcpdump 的提示和注意事項。
權限問題
擷取網路介面通常需要 root 權限。因此，大多數 tcpdump 命令都需要與 `sudo` 一起執行。
- 始終以 `sudo tcpdump ...` 的形式執行
- 也可以授予特定使用者 `CAP_NET_RAW` 權限以在沒有 `sudo` 的情況下執行，但需注意安全
過濾的重要性
在流量大的環境中，如果不進行過濾而執行 tcpdump，將會輸出大量資料，導致分析困難並影響系統效能。請務必積極使用過濾表達式，僅擷取所需的流量。
- 捨棄不必要的流量，僅擷取所需的流量
- 在開始擷取前套用過濾會更有效率
儲存和分析封包
如果即時分析困難或需要稍後詳細分析，建議使用 `-w` 選項將封包儲存到 `.pcap` 檔案。儲存的檔案可以使用 Wireshark 等 GUI 工具更方便地進行分析。
- 大量流量請使用 `-w` 儲存後再分析
- Wireshark 是分析 `.pcap` 檔案的最佳工具
效能考量
tcpdump 可能會消耗大量系統資源。特別是在高頻寬環境中，擷取整個封包或使用複雜的過濾器可能會對 CPU 和磁碟 I/O 造成負擔。
- 使用 `-s` 選項限制要擷取的封包長度以節省資源
- 使用 `-c` 選項限制要擷取的封包數量