功能概述
-d 将匹配信息包的代码以人们能够理解的汇编格式给出。
-dd 将匹配信息包的代码以c语言程序段的格式给出。
-ddd 将匹配信息包的代码以十进制的形式给出。
-D 打印出系统中所有可以用tcpdump截包的网络接口。
-e 在输出行打印出数据链路层的头部信息。
-i 指定监听的网络接口。
-l 使标准输出变为缓冲行形式，可以把数据导出到文件。
-L 列出网络接口的已知数据链路。
-b 在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。
-n 不把网络地址转换成名字。
-nn 不进行端口名称的转换。
-t 在输出的每一行不打印时间戳。
-O 不运行分组分组匹配（packet-matching）代码优化程序。
-P 不将网络接口设置成混杂模式。
-q 快速输出。只输出较少的协议信息。
-r 从指定的文件中读取包(这些包一般通过-w选项产生)。
-s 从每个分组中读取最开始的snaplen个字节，而不是默认的68个字节。
-v 输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息。
-vv 输出详细的报文信息。
-w 直接将分组写入文件中，而不是不分析并打印出来。
功能介绍
场景一：过滤主机
抓取所有经过enp2s0，目的或源地址是192.168.1.1的网络数据：
tcpdump -i enp2s0 host 192.168.1.1
【注1】：-i 表示指定监听的网口是enp2s0,不带-i表示监听当前主机上的所有网口。
抓取所有经过enp2s0，源地址是192.168.1.1的网络数据：
tcpdump -i enp2s0 src host 192.168.1.1
抓取所有经过enp2s0，目的地址是192.168.1.1的网络数据：
tcpdump -i enp2s0 dst host 192.168.1.1
场景二：过滤端口
抓取所有经过enp2s0，目的或源端口是25的网络数据：
tcpdump -i enp2s0 port 25
抓取所有经过enp2s0，源端口是25的网络数据：
tcpdump -i enp2s0 src port 25
抓取所有经过enp2s0，目的端口是25的网络数据：
tcpdump -i enp2s0 dst port 25
场景三：网络过滤
抓取所有经过enp2s0,目的或源网段是192.168开头的网络数据：
tcpdump -i enp2s0 net 192.168
场景四：协议过滤
抓取所有经过enp2s0,网络协议是arp的网络数据:
tcpdump -i enp2s0 arp
抓取所有经过enp2s0,网络协议是tcp的网络数据:
tcpdump -i enp2s0 tcp
抓取所有经过enp2s0,网络协议是udp的网络数据:
tcpdump -i enp2s0 udp
抓取所有经过enp2s0,网络协议是icmp的网络数据:
tcpdump -i enp2s0 icmp
场景五：常用表达式
非 : ! or not
且 : && or and
或 : || or or
抓取所有经过enp2s0，目的地址是192.168.1.254或192.168.1.200端口是80的TCP数据：
tcpdump -i enp2s0 '((tcp) and (port 80) and ((dst host 192.168.1.254) or (dst host 192.168.1.200)))'
抓取所有经过enp2s0，目标MAC地址是00:01:02:03:04:05的ICMP数据：
tcpdump -i enp2s0 '((icmp) and ((ether dst host 00:01:02:03:04:05)))'
抓取所有经过enp2s0，目的网络是192.168，但目的主机不是192.168.1.200的TCP数据：
tcpdump -i enp2s0 '((tcp) and ((dst net 192.168) and (not dst host 192.168.1.200)))'
准备环境
电脑连接互联网，或者有离线仓库。
安装步骤
D版：使用仓库安装tcpdump
执行命令
apt install -y tcpdump，安装tcpdump抓包工具。
A、E版：仓库安装tcpdump
执行命令
yum install -y tcpdump，安装tcpdump抓包工具。
©统信软件技术有限公司。访问者可将本网站提供的内容或服务用于个人学习、研究或欣赏，以及其他非商业性或非盈利性用途，但同时应遵守著作权法及其他相关法律的规定，不得侵犯本网站及相关权利人的合法权利。除此以外，将本网站任何内容或服务进行转载，须备注：该文档出自【faq.uniontech.com】统信软件知识分享平台。否则统信软件将追究相关版权责任。
