在日常的系统运维、网络安全排查或开发调试中，我们常常需要了解 Linux 系统上正在传输的网络数据。这时候，Linux网络抓包就成了一项必备技能。本文将带你从零开始，使用最经典的工具 tcpdump 来捕获和分析网络数据包，即使你是完全的小白，也能轻松上手！
什么是网络抓包？
网络抓包（Packet Capture）是指通过特定工具截获并记录经过网络接口的数据包。这些数据包包含了通信双方的 IP 地址、端口号、协议类型（如 TCP、UDP）、数据内容等信息。通过分析这些信息，我们可以诊断网络问题、检测异常流量，甚至进行安全审计。
为什么选择 tcpdump？
tcpdump 是 Linux 下最经典、轻量且功能强大的命令行抓包工具。它不需要图形界面，资源占用低，适合在服务器环境中使用。同时，它支持丰富的过滤语法，可以精准捕获你关心的流量。
安装 tcpdump
大多数 Linux 发行版默认未安装 tcpdump，但安装非常简单：
Ubuntu/Debian 系统：
sudo apt updatesudo apt install tcpdump CentOS/RHEL/Fedora 系统：
sudo yum install tcpdump # CentOS 7 及更早版本# 或sudo dnf install tcpdump # CentOS 8+ / Fedora 基本使用：捕获所有流量
以 root 权限运行以下命令，即可开始捕获默认网卡上的所有数据包：
sudo tcpdump 你会看到类似下面的输出：
12:34:56.789123 IP 192.168.1.100.54321 > 8.8.8.8.53: UDP, length 3212:34:56.789456 IP 8.8.8.8.53 > 192.168.1.100.54321: UDP, length 48
每一行代表一个数据包，包含时间戳、源/目标 IP 和端口、协议类型及数据长度。
常用选项与过滤技巧
实际使用中，我们通常不会抓取全部流量（那会太多），而是使用过滤器精准定位。以下是几个实用例子：
- 指定网卡：
sudo tcpdump -i eth0 - 只抓 TCP 包：
sudo tcpdump tcp - 只抓发往或来自某 IP 的包：
sudo tcpdump host 192.168.1.100 - 只抓某个端口（如 HTTP 的 80 端口）：
sudo tcpdump port 80 - 保存到文件（便于后续分析）：
sudo tcpdump -w capture.pcap
例如，要抓取本机与 Google DNS（8.8.8.8）之间的 DNS 查询（UDP 53 端口），可以运行：
sudo tcpdump -i any host 8.8.8.8 and port 53 保存与回放：.pcap 文件
使用 -w 参数可将抓包结果保存为 .pcap 格式文件，该格式被 Wireshark 等图形工具广泛支持：
sudo tcpdump -i eth0 -w my_traffic.pcap 之后可用以下命令回放查看：
tcpdump -r my_traffic.pcap 安全提示
网络抓包涉及敏感信息（如密码、Cookie），请务必遵守公司政策和法律法规。仅在你拥有权限的设备上操作，并避免在生产环境无限制抓包，以免影响性能。
结语
通过本教程，你已经掌握了 tcpdump使用教程 的核心内容。无论是排查连接失败、分析慢速请求，还是学习 网络数据包分析 原理，tcpdump 都是你可靠的伙伴。结合 Wireshark 图形界面，还能进一步深入分析。希望这篇面向 初学者网络监控 的指南能助你在 Linux 网络世界中更加自信！
—— Happy Packet Capturing! ——