一、数据包持久化存储方案

在网络故障排查过程中，保存原始数据包是后续分析的关键基础。tcpdump提供了两种核心存储格式：

1.1 二进制存储格式

使用-w参数可将捕获的原始数据包保存为二进制格式（默认.pcap扩展名），该格式完整保留链路层、网络层、传输层信息，支持所有主流网络分析工具解析。

# 保存所有接口捕获的数据包（默认捕获前68字节）
tcpdump -w full_capture.pcap
# 指定网卡并增加捕获长度（适用于分析应用层数据）
tcpdump -i eth0 -s 0 -w detailed_capture.pcap

1.2 文本格式输出

通过重定向可将解析后的数据包信息保存为文本文件，适合快速查看关键字段：

# 输出TCP握手过程到文本文件
tcpdump -i any 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0' > tcp_handshake.txt

1.3 存储优化技巧

分片存储：结合-C参数实现按文件大小自动分片

tcpdump -w capture.pcap -C 100  # 每100MB创建新文件

环形缓冲：使用-G参数按时间轮转存储

tcpdump -w capture_%Y%m%d_%H%M%S.pcap -G 3600  # 每小时创建新文件

二、协议级过滤机制

tcpdump支持20+种网络协议的精准过滤，包括但不限于：

2.1 传输层协议

# 捕获所有TCP流量（含重传、乱序等异常）
tcpdump 'tcp'
# 专注UDP流量（适用于DNS/DHCP/NTP等协议分析）
tcpdump 'udp'
# 过滤ICMP报文（网络连通性诊断）
tcpdump 'icmp'

2.2 应用层协议

通过端口映射实现应用层过滤：

# SSH服务流量（默认端口22）
tcpdump 'tcp port 22'
# HTTPS加密流量（443端口）
tcpdump 'tcp port 443'
# 自定义端口范围（适用于非标准端口应用）
tcpdump 'tcp portrange 8000-9000'

2.3 链路层协议

# 捕获ARP请求/响应
tcpdump 'arp'
# 过滤802.1Q VLAN标签流量
tcpdump 'vlan'

三、端口与IP定向过滤

精准定位特定端点通信是故障排查的核心技能：

3.1 端口过滤进阶

# 双向端口过滤（源或目的端口）
tcpdump 'port 80'
# 严格源端口过滤
tcpdump 'src port 80'
# 组合条件示例：捕获来自8080端口的HTTP响应
tcpdump 'src port 8080 and dst port > 1024'

3.2 IP地址过滤体系

# 捕获特定主机所有流量
tcpdump 'host 192.168.1.100'
# 过滤网段间通信（CIDR表示法）
tcpdump 'net 10.0.0.0/24'
# 定向流量分析示例：
# 捕获A到B的TCP流量（排除其他方向）
tcpdump 'src host 192.168.1.100 and dst host 10.0.0.1 and tcp'

四、复合条件组合过滤

通过逻辑运算符构建复杂过滤规则，实现精准流量捕获：

4.1 基础逻辑组合

# 捕获HTTP GET请求（端口80 + GET方法）
tcpdump 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' and 'tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420'
# 简化版HTTP检测（适用于大多数场景）
tcpdump -A -s 0 'tcp port 80 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x47455420)'

4.2 异常流量检测

# 检测SYN Flood攻击（单位时间异常SYN包）
tcpdump 'tcp[tcpflags] & tcp-syn != 0' -c 100 | awk '{print $1}' | sort | uniq -c | sort -nr
# 捕获重传包（网络拥塞指示）
tcpdump 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-ack and tcp[12:2] & 0x1FFF == 0'

4.3 高级组合示例

# 捕获DNS查询失败（SERVFAIL响应）
tcpdump -i any 'udp port 53 and (udp[10] & 0x7f) = 2'
# 检测HTTP慢连接（建立时间超过3秒）
tcpdump -nn -ttt 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn and ((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) > 3000000'

五、生产环境实践建议

权限管理：使用sudo执行或配置cap_net_raw能力
性能优化：
- 限制捕获数据量：-c参数指定包数量
- 减少捕获长度：-s设置合适snaplen（通常96-128字节足够分析）
安全规范：
- 敏感数据脱敏：使用-X参数时注意密码等字段
- 存储加密：对保存的pcap文件进行加密处理

自动化集成：

# 定时捕获并上传至对象存储
while true; do
  tcpdump -i eth0 -w "/tmp/capture_$(date +%s).pcap" -G 3600 -C 50
  find /tmp -name "capture_*.pcap" -mmin +5 -exec upload_to_storage {} \;
done

通过系统掌握这些高级过滤技术，网络工程师可将故障定位效率提升80%以上。建议结合Wireshark等图形化工具进行深度分析，形成完整的网络诊断闭环。

Linux网络抓包利器：tcpdump指令深度解析与实践指南