1. 什么是抓包命令
抓包是指在网络中截获数据包并进行分析的过程。而抓包命令则是用来在Linux系统中进行网络抓包的命令行工具。
抓包命令可以帮助我们分析网络问题，比如排查网络通信故障、判断网络速度、监控网络流量等等。
在Linux系统中，有多种抓包命令可供使用，比如tcpdump、Wireshark、tshark等。
2. TCPDUMP基本用法
2.1 TCPDUMP命令格式
tcpdump [ -AbdDefhHIJKlLnNOpqStuUvxX# ] [ -B buffer_size ]
[ -c count ] [ -C file_size ] [ -G rotate_seconds ]
[ -F file ] [ -i interface ] [ -j tstamptype ] [ -M secret ]
[ --number ] [ -Q in|out|inout ]
[ -r file ] [ -s snaplen ] [ -T type ] [ -v ... ]
[ -V file ] [ -w file ] [ -W filecount ]
[ -y datalinktype ] [ -z postrotate-command ] [ -Z user ]
[ expression ]
上面的命令格式中，方括号“[]”中的是可选参数，花括号“{}”中的是参数内容的示例。具体参数的含义可以使用 man tcpdump 命令查看。
2.2 TCPDUMP捕获数据包
使用 TCPDUMP 命令默认情况下会捕获所有的网络数据包。可以使用-i参数指定需要抓取的网卡设备。
以下是捕获eth0网卡数据包的命令：
sudo tcpdump -i eth0 若想保存抓取到的数据包，则可使用-w参数指定保存文件的路径和文件名：
sudo tcpdump -i eth0 -w packets.pcap 通过以上命令，tcpdump会将捕获到的网络数据包保存到 packet.pcap文件中。
2.3 TCPDUMP过滤数据包
TCPDUMP 可以使用过滤器来筛选特定的数据包。
可以使用TCPDUMP的过滤表达式来完成对数据包的过滤。
以下为一些常见的TCPDUMP过滤表达式：
1. 根据主机过滤
tcpdump host 192.168.1.1 以上命令会抓取所有与 IP地址为 192.168.1.1 的主机相连的数据包。
2. 根据端口过滤
tcpdump port 80 以上命令会抓取所有与端口 80 相关的数据包。
3. 组合使用多个过滤表达式
tcpdump host 192.168.1.1 and port 80 以上命令会抓取所有与 IP地址为 192.168.1.1 的主机连接的端口为 80 的数据包。
2.4 TCPDUMP显示抓包结果
TCPDUMP 可以结合选项参数来输出抓取的数据包。包括：
-A：打印完整的数据包内容，在输出上比较容易读取。
-n：把所有网络地址转换为数字，可以加快输出的速度。
-c：此选项可指定抓取的数据包数量。
以下是输出前10个抓取到的运行中的DNS解析数据包时的命令：
tcpdump -i eth0 dst port 53 -l -c 10 其中，-l 参数告诉 tcpdump 每捕获一条数据包就立即刷新标准输出，这样可以看到抓包结果。
2.5 TCPDUMP使用细节
为了更好地进行网络分析，需要掌握一些 TCPDUMP 抓包的细节。
捕获数据包时，需要具备管理员权限。
启动捕获前，需要确认是否安装了 libpcap 库。
根据需求合理调整捕获的数据包的过滤机制和数量。
在完成捕获后，可以使用 wireshark 或 tshark 工具对数据包进行分析，以协助问题的定位和分析。
3. 总结
对于Linux系统维护人员和网络管理员来说，捕获和分析数据包是非常重要的一环。TCPDUMP 命令是一款十分强大的网络抓包工具，可以帮助我们更好地进行网络分析，从而对网络问题进行更高效的定位和解决。