tcpdump 抓包實戰速查：從基礎語法到高頻過濾表達式與 Wireshark 聯動分析

核心參數速記

高頻過濾表達式（BPF 語法）

# 主機
tcpdump -i eth1 host 192.168.1.123

# 端口
tcpdump -i eth1 port 80

# 主機+端口
tcpdump -i eth1 host 192.168.1.123 and port 80

# 排除端口
tcpdump -i eth1 host 192.168.1.123 and not port 22

# 協議
tcpdump -i eth1 icmp
tcpdump -i eth1 tcp
tcpdump -i eth1 udp

# VLAN
tcpdump -i eth1 vlan 1 and port 80

# PPPoE 密碼抓取
tcpdump -i eth1 pppoes

後台長期抓包

nohup tcpdump -i eth1 port 110 -w /tmp/mail.cap -C 100m -c 10000 &

Wireshark 聯動

• .cap/.pcap 文件雙擊即可用 Wireshark 打開
• Wireshark 顯示過濾器語法與 tcpdump 略異（如 ip.addr==1.2.3.4），但捕獲文件完全兼容

實戰技巧

• 抓包前先 tcpdump -i eth1 -c 5 確認流量存在
• 生產環境務必加 -s 0 -n 避免截斷與 DNS 解析阻塞
• 大流量場景配合 -C 分卷防止磁盤寫滿