一、TCPDump基础过滤体系详解

1.1 协议级过滤方法

协议过滤是网络分析的基础能力，通过指定协议类型可快速定位特定流量。以下是常见协议的捕获命令：

# TCP协议流量捕获（覆盖HTTP/SMTP等应用层协议）
sudo tcpdump -i any tcp
# UDP协议流量捕获（适用于DNS/NTP等无连接协议）
sudo tcpdump -i any udp
# ICMP协议捕获（用于ping检测及网络诊断）
sudo tcpdump -i any icmp
# ARP协议捕获（解决IP冲突或MAC地址解析问题）
sudo tcpdump -i any arp

应用场景：当怀疑TCP连接异常时，可通过tcpdump -i any tcp观察三次握手过程；检测DNS劫持时使用udp port 53过滤DNS查询响应包。

1.2 端口级过滤技术

端口过滤可精准定位服务流量，支持源/目的端口单独过滤：

# 捕获Web服务流量（HTTP/HTTPS）
sudo tcpdump -i any port 80          # HTTP
sudo tcpdump -i any port 443         # HTTPS
# 数据库服务监控
sudo tcpdump -i any dst port 3306    # MySQL写入流量
sudo tcpdump -i any portrange 5432-5433 # PostgreSQL集群
# 混合条件过滤示例
sudo tcpdump -i any 'src port 8080 and dst port 3306' # 应用连接数据库

进阶技巧：使用portrange参数可批量监控端口区间，例如portrange 8000-9000可覆盖多个微服务端口。

1.3 IP地址过滤策略

IP过滤支持主机、网段、方向性过滤：

# 主机级过滤
sudo tcpdump -i any host 192.168.1.100  # 双向流量
sudo tcpdump -i any src host 10.0.0.1    # 仅源IP
sudo tcpdump -i any dst host 8.8.8.8     # 仅目标IP
# 网段级过滤（CIDR表示法）
sudo tcpdump -i any net 192.168.1.0/24
# 排除特定IP
sudo tcpdump -i any 'not host 10.0.0.2'

生产环境建议：在监控内网流量时，建议结合net和host参数缩小范围，例如：

sudo tcpdump -i any 'src net 192.168.1.0/24 and dst host 8.8.8.8'

二、复合过滤条件实战

2.1 协议+端口组合分析

通过逻辑运算符构建复合条件，实现精准流量捕获：

# HTTP/HTTPS流量区分
sudo tcpdump -i any 'tcp and port 80'     # 纯HTTP
sudo tcpdump -i any 'tcp and port 443'    # HTTPS（含TLS握手）
# DNS协议深度分析
sudo tcpdump -i any 'udp and port 53'     # 标准DNS查询
sudo tcpdump -i any 'tcp and port 53'     # DNS over TCP（长查询）

典型场景：当怀疑DNS解析异常时，可同时捕获UDP/TCP端口53流量，观察是否存在大量重试或TCP fallback情况。

2.2 IP+端口组合监控

# 数据库安全审计
sudo tcpdump -i any 'dst host 10.0.0.5 and (port 3306 or port 5432)'
# 出口流量管控
sudo tcpdump -i any 'src net 192.168.1.0/24 and dst port 80'
# 异常连接排查
sudo tcpdump -i any 'src host 192.168.1.100 and not port 22'

性能优化：在生产环境使用时，建议添加-c参数限制捕获包数量，例如-c 100仅捕获100个包后退出。

2.3 复杂逻辑组合应用

# 非Web流量分析
sudo tcpdump -i any 'tcp and not port 80 and not port 443'
# TCP异常状态检测
sudo tcpdump -i any 'tcp[tcpflags] & (tcp-syn|tcp-rst) != 0'
# HTTP长连接监控
sudo tcpdump -i any 'tcp port 80 and (tcp[tcpflags] & tcp-fin == 0)'

协议解析：tcp[tcpflags]字段包含TCP标志位，通过位运算可检测特定状态包。例如：

tcp-syn：SYN包（连接建立）
tcp-rst：RST包（连接重置）
tcp-fin：FIN包（连接关闭）

三、高级协议解码技术

3.1 HTTP协议深度解析

# 捕获HTTP请求头（ASCII解码）
sudo tcpdump -i any -A -s0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | grep -E 'GET |POST |HTTP/'
# 输出示例
GET /api/users HTTP/1.1
Host: example.com
User-Agent: curl/7.68.0

实现原理：

-A参数启用ASCII解码
-s0设置抓包长度无限制
复杂BPF表达式计算IP/TCP头部长度，确保捕获完整HTTP请求

3.2 DNS协议分析技巧

# 捕获DNS查询域名
sudo tcpdump -i any -n -tttt 'udp port 53' | grep 'queries'
# 输出示例
2023-05-20 14:30:22.123456 IP 192.168.1.100.54321 > 8.8.8.8.53: 23456+ A? example.com. (30)

关键字段解读：

23456：DNS事务ID
A?：查询类型（A记录）
example.com.：查询域名
(30)：查询长度

3.3 MySQL协议逆向分析

# 捕获MySQL登录请求
sudo tcpdump -i any -X -s0 'tcp port 3306 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | grep -i 'Auth'
# 输出示例（十六进制+ASCII）
0x0000:  4500 0078 0000 4000 4006 0000 c0a8 0164  E..x..@.@......d
0x0010:  0808 0808 0d3a 0d3a 0000 0000 504f 5354  .....:.:.....POST
0x0020:  202f 2048 5454 502f 312e 310d 0a48 6f73  ./.HTTP/1.1..Hos

分析要点：

-X参数同时输出十六进制和ASCII
MySQL认证包通常包含Auth关键字
结合Wireshark可进一步解析协议细节

四、生产环境最佳实践

4.1 性能优化建议

接口限制：指定网卡接口（如-i eth0）减少无关流量
包大小控制：使用-s 1500限制抓包长度（默认96字节可能截断应用数据）
文件存储：添加-w capture.pcap将流量保存为文件供后续分析

4.2 自动化监控方案

# 持续监控HTTP错误码
sudo tcpdump -i any -l -n 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | awk '{print $0} /HTTP\/1.\"[4-5][0-9][0-9]/ {system("echo \"ALERT: HTTP Error detected\" | mail -s \"Network Alert\" admin@example.com")}'

扩展建议：可将此类脚本与日志服务集成，实现实时告警与历史分析。

4.3 云环境特殊考虑

在虚拟化环境中使用时需注意：

混杂模式：确保网卡支持混杂模式（ifconfig检查PROMISC标志）
容器网络：在容器内抓包需附加到宿主机网卡（如-i vethef123）
安全组：检查云平台安全组规则是否放行所需端口

本文通过系统化的过滤规则与实战案例，展示了TCPDump在网络分析中的强大能力。从基础的三层过滤到应用层协议解码，覆盖了80%以上的日常运维场景。建议读者结合Wireshark等图形化工具进行交叉验证，逐步构建完整的网络诊断知识体系。

TCPDump网络抓包实战：从基础过滤到深度协议解析全攻略