tcpdump 抓包服务器

### 使用 `tcpdump` 进行网络流量捕获

#### 安装 `tcpdump`

在不同的操作系统上，安装 `tcpdump` 的方式有所不同：

- 对于 CentOS 系统：

  yum install -y tcpdump

- 对于 Ubuntu 系统：

  apt-get install -y tcpdump

#### 基本命令结构

`tcpdump` 提供了丰富的选项来定制捕获行为。基本语法如下：

tcpdump [选项] [表达式]

常见的选项包括但不限于：

-i interface`: 指定要监听的网络接口。
- `-nn`: 不解析主机名和端口号为名称。
- `-s snaplen`: 设置捕捉数据包的最大字节数，默认情况下可能只捕捉前68个字节。
- `-w filename`: 将捕获的数据保存至文件而不是立即打印出来。

#### 实际案例展示

假设目标是在名为 `eth0` 的网卡上监控所有HTTP请求（通常使用端口80），并将这些信息记录在一个叫做 `http_traffic.pcap` 的文件里，则可执行下面这条指令：

tcpdump -i eth0 'port 80' -w http_traffic.pcap

如果希望查看SSH连接活动（默认端口22）而不把结果存盘而是直接输出到屏幕上，那么应该这样调用程序：

tcpdump -i any 'port 22'

为了更高效地处理大量数据流或者当不确定具体哪个物理适配器负责对外通信时，“any”关键字会很有帮助；它允许应用程序同时监视多个设备上的事件[^5]。

另外，在某些场景下，比如想要排除掉来自某个特定IP地址(`192.168.1.1`)的数据报文，可以采用这样的过滤条件：

tcpdump not host 192.168.1.1

而若是关心的是两个节点间——例如客户端(192.168.1.100)与服务器(192.168.1.200)—之间的交互情况，则可以通过组合逻辑运算符实现这一点：

tcpdump src 192.168.1.100 and dst 192.168.1.200 or src 192.168.1.200 and dst 192.168.1.100

以上就是关于如何运用 `tcpdump` 工具来进行有效的网络流量监测的一些指导说明[^1][^2][^3][^4].