以系统管理员的经验，我经常发现网络连接问题很难解决。 对于那些情况，tcpdump是一个很好的盟友。

tcpdump是一个功能强大且用途广泛的工具，其中包括许多选项和过滤器，可以在多种情况下使用。 由于它是命令行工具，因此，它非常适合在没有GUI的远程服务器或设备中运行，以收集以后可以分析的数据。 也可以在后台启动它，也可以使用cron之类的工具将其作为计划作业启动。

在本文中，我们将介绍tcpdump的一些最常见功能。

1.在Linux上安装

Tcpdump包含在多个Linux发行版中，因此可能已经安装了它。 使用以下命令检查系统上是否安装了tcpdump：

如果未安装tcpdump，则可以使用发行版的程序包管理器进行安装。 例如，在CentOS或Red Hat Enterprise Linux上，如下所示：

 $  sudo yum install -y tcpdump 

Tcpdump需要libpcap ，这是用于捕获网络数据包的库。 如果未安装，它将自动添加为依赖项。

您已经准备好开始捕获一些数据包。

2.使用tcpdump捕获数据包

为了捕获数据包以进行故障排除或分析，tcpdump需要提升的权限，因此在以下示例中，大多数命令都以sudo为前缀。

首先，使用命令tcpdump -D查看哪些接口可用于捕获：

在上面的示例中，您可以看到本机上所有可用的接口。 特殊接口any允许在任何活动接口中捕获。

让我们用它来开始捕获一些数据包。 通过运行以下命令捕获任何接口中的所有数据包：

Tcpdump继续捕获数据包，直到收到中断信号为止。 您可以通过按Ctrl+C中断捕获。 如本例所示， tcpdump捕获了9,000多个数据包。 在这种情况下，由于我使用ssh连接到此服务器，因此tcpdump捕获了所有这些数据包。 要限制捕获的数据包数量并停止tcpdump ，请使用-c选项：

在这种情况下， tcpdump在捕获五个数据包后自动停止捕获。 这在不同的情况下很有用-例如，如果要对连接进行故障排除并捕获一些初始数据包就足够了。 当我们应用过滤器来捕获特定的数据包时，此功能将更加有用（如下所示）。

默认情况下，tcpdump将IP地址和端口解析为名称，如上例所示。 解决网络问题时，通常更容易使用IP地址和端口号。 通过使用选项-n禁用名称解析，并使用-nn禁用端口解析：

如上所示，捕获输出现在显示IP地址和端口号。 这也可以防止tcpdump发布DNS查找，这有助于在解决网络问题时降低网络流量。

既然您已经能够捕获网络数据包，那么让我们探索一下此输出的含义。

3.了解输出格式

Tcpdump能够捕获和解码许多不同的协议，例如TCP，UDP，ICMP等。 尽管我们不能在此处介绍所有内容，但为了帮助您入门，让我们探索TCP数据包。 您可以在tcpdump的手册页中找到有关不同协议格式的更多详细信息。 tcpdump捕获的典型TCP数据包如下所示：

 08:41:13.729687 IP 192.168.64.28.22 > 192.168.64.1.41916: Flags [P.], seq 196:568, ack 1, win 309, options [nop,nop,TS val 117964079 ecr 816509256], length 372 

这些字段可能会有所不同，具体取决于要发送的数据包的类型，但这是常规格式。

第一个字段08:41:13.729687,代表根据本地时钟接收的数据包的时间戳。

接下来， IP代表网络层协议，在本例中为IPv4 。 对于IPv6数据包，该值为IP6 。

下一个字段192.168.64.28.22是源IP地址和端口。 随后是目标IP地址和端口，由192.168.64.1.41916表示。

在源和目标之后，可以找到TCP标志Flags [P.] 。 该字段的典型值包括：

Value	标记类型	描述
S	同步	连接开始
F	鳍	连接完成
P	推	数据推送
R	RST	连接重置
.	确认	致谢

该字段也可以是这些值的组合，例如SYN-ACK数据包的[S.] 。

接下来是数据包中包含的数据的序列号。 对于第一个捕获的数据包，这是一个绝对数。 后续数据包使用相对编号，以便于跟踪。 在此示例中，序列为seq 196:568,这意味着此数据包包含此流的字节196至568。

其后是Ack编号： ack 1 。 在这种情况下，它是1，因为这是发送数据的一方。 对于接收数据的一方，此字段表示此流中的下一个预期字节（数据）。 例如，此流中下一个数据包的Ack编号将为568。

下一个字段是窗口大小win 309 ，它表示接收缓冲区中可用的字节数，其后是TCP选项，例如MSS（最大段大小）或窗口缩放。 有关TCP协议选项的详细信息，请参阅传输控制协议（TCP）参数 。

最后，我们具有数据包长度，即length 372 ，它表示有效载荷数据的长度（以字节为单位）。 长度是序列号的最后一个字节与第一个字节之间的差。

现在，让我们学习如何过滤数据包以缩小结果范围并更轻松地解决特定问题。

4.过滤包

如上所述，tcpdump可能捕获太多数据包，其中有些甚至与您要解决的问题都不相关。 例如，如果您要解决与Web服务器的连接问题，则对SSH流量不感兴趣，因此从输出中删除SSH数据包可以更轻松地解决实际问题。

tcpdump最强大的功能之一就是它能够使用各种参数（例如源和目标IP地址，端口，协议等）过滤捕获的数据包的能力。让我们看一些最常见的参数。

协议

要基于协议过滤数据包，请在命令行中指定协议。 例如，仅通过使用以下命令捕获ICMP数据包：

在另一个终端中，尝试对另一台计算机执行ping操作：

回到tcpdump捕获中，请注意tcpdump捕获并仅显示与ICMP相关的数据包。 在这种情况下，tcpdump不会显示解析名称opensource.com时生成的名称解析数据包：

主办

使用host过滤器将捕获限制为仅与特定主机相关的数据包：

在此示例中，tcpdump仅捕获并显示往返于主机54.204.39.132数据包。

港口

要根据所需的服务或端口过滤数据包，请使用port过滤器。 例如，使用以下命令捕获与Web（HTTP）服务相关的数据包：

源IP /主机名

您还可以根据源或目标IP地址或主机名过滤数据包。 例如，要捕获来自主机192.168.122.98数据包：

请注意，tcpdump将捕获的数据包的源IP地址为192.168.122.98用于多种服务，例如名称解析（端口53）和HTTP（端口80）。 由于响应数据包的源IP不同，因此不会显示它们。

相反，您可以使用dst过滤器按目标IP /主机名进行过滤：

复杂表达

您还可以通过使用逻辑运算符and和or创建更复杂的表达式来组合过滤器。 例如，要仅过滤来自源IP地址192.168.122.98和服务HTTP的数据包，请使用以下命令：

您可以通过将过滤器与括号分组来创建更复杂的表达式。 在这种情况下，请用引号将整个过滤器表达式引起来，以防止外壳程序将它们与外壳程序表达式混淆：

在此示例中，我们仅针对HTTP服务（端口80）和源IP地址192.168.122.98或54.204.39.132过滤数据包。 这是检查同一流程两侧的一种快速方法。

5.检查包内容

在前面的示例中，我们仅检查数据包的标头中的信息，例如源，目的地，端口等。有时，这是解决网络连接问题所需的全部。 但是，有时我们需要检查数据包的内容，以确保我们发送的消息包含我们需要的内容或我们收到了预期的响应。 要查看数据包内容，tcpdump提供了两个附加标志： -X以十六进制打印内容，而ASCII或-A以ASCII打印内容。

例如，检查Web请求的HTTP内容，如下所示：

假设调用使用的是纯HTTP，这有助于解决API调用的问题。 对于加密连接，此输出的用处较小。

6.保存捕获到文件

tcpdump提供的另一个有用功能是能够将捕获的内容保存到文件中，以便您以后可以分析结果。 例如，这使您可以在一夜之间以批处理模式捕获数据包，并在早晨验证结果。 当有太多数据包需要分析时，它也有帮助，因为实时捕获可能会发生得太快。

要将数据包保存到文件而不是在屏幕上显示，请使用选项-w ：

此命令将输出保存在名为webserver.pcap的文件中。 .pcap扩展名表示“数据包捕获”，并且是此文件格式的约定。

如此例所示，按照选项-c10 ，屏幕上什么都没有显示，并且在捕获10个数据包之后捕获完成。 如果需要一些反馈以确保捕获数据包，请使用选项-v 。

Tcpdump以二进制格式创建文件，因此您不能简单地使用文本编辑器打开它。 要读取文件的内容，请使用-r选项执行tcpdump：

由于不再需要直接从网络接口捕获数据包，因此不需要sudo来读取文件。

您也可以使用我们讨论的任何过滤器来过滤文件中的内容，就像处理实时数据一样。 例如，通过执行以下命令，检查来自源IP地址54.204.39.132的捕获文件中的数据包：

下一步是什么？

tcpdump的这些基本功能将帮助您开始使用此功能强大的多功能工具。 要了解更多信息，请访问tcpdump网站和手册页 。

tcpdump命令行界面为捕获和分析网络流量提供了极大的灵活性。 如果您需要图形工具来了解更复杂的流程，请查看Wireshark 。

Wireshark的好处之一是，它可以读取tcpdump捕获的.pcap文件。 您可以使用tcpdump捕获没有GUI的远程计算机中的数据包，并使用Wireshark分析结果文件，但这是另一天的主题。

翻译自: https://opensource.com/article/18/10/introduction-tcpdump