一、基础过滤规则体系

1.1 协议级过滤方法

协议过滤是流量捕获的基础操作，通过指定协议类型可精准定位目标流量。常见协议的过滤语法如下：

# TCP协议流量捕获（适用于HTTP/SSH等）
sudo tcpdump -i any tcp
# UDP协议流量捕获（适用于DNS/DHCP等）
sudo tcpdump -i any udp
# ICMP协议流量捕获（网络连通性测试）
sudo tcpdump -i any icmp
# ARP协议流量捕获（MAC地址解析过程）
sudo tcpdump -i any arp

特殊协议处理技巧：

DNS协议需通过端口号53过滤（UDP协议）
VXLAN等Overlay协议需结合端口号4789过滤
HTTP/2流量仍使用TCP协议，需结合端口和内容特征分析

1.2 端口级过滤方法

端口过滤可细化到服务层级，支持多种组合方式：

# 标准端口过滤
sudo tcpdump -i any port 80      # HTTP服务
sudo tcpdump -i any port 443     # HTTPS服务
# 方向性过滤
sudo tcpdump -i any src port 8080  # 源端口过滤
sudo tcpdump -i any dst port 3306  # 目标端口过滤
# 端口范围过滤（适用于批量服务）
sudo tcpdump -i any port range 8000-9000

端口过滤注意事项：

知名服务端口建议使用标准命名（如http/https）
临时端口范围（32768-60999）需结合其他条件过滤
端口转发场景需同时监控源和目标端口

1.3 IP地址过滤方法

IP过滤支持主机、网段、方向等多维度控制：

# 主机级过滤
sudo tcpdump -i any host 192.168.1.100  # 双向流量
sudo tcpdump -i any src host 10.0.0.1    # 源主机
sudo tcpdump -i any dst host 8.8.8.8      # 目标主机
# 网段级过滤
sudo tcpdump -i any net 192.168.1.0/24
sudo tcpdump -i any net 10.0.0.0 mask 255.255.255.0

IP过滤进阶技巧：

结合not关键字排除特定IP
使用broadcast/multicast过滤广播流量
IPv6地址需使用ip6协议前缀

二、组合过滤实战技巧

2.1 协议+端口组合

通过逻辑运算符构建复合条件，实现精准捕获：

# HTTP流量捕获（TCP+80端口）
sudo tcpdump -i any 'tcp and port 80'
# DNS查询流量（UDP+53端口）
sudo tcpdump -i any 'udp and port 53'
# MySQL数据库流量（TCP+3306端口）
sudo tcpdump -i any 'tcp and port 3306'

组合过滤优化建议：

使用单引号包裹复合条件
复杂条件建议拆分测试
结合-w参数保存到文件后续分析

2.2 IP+端口组合

实现服务级流量定向捕获：

# 外部DNS查询流量
sudo tcpdump -i any 'dst host 8.8.8.8 and dst port 53'
# 特定主机SSH访问
sudo tcpdump -i any 'src host 192.168.1.100 and port 22'
# 数据库集群流量
sudo tcpdump -i any 'dst host 10.0.0.5 and (port 3306 or port 5432)'

2.3 复杂逻辑组合

通过布尔运算符构建高级过滤条件：

# 非HTTP的TCP流量（排除80端口）
sudo tcpdump -i any 'tcp and not port 80'
# 内部网段访问外部HTTP
sudo tcpdump -i any 'src net 192.168.1.0/24 and dst port 80'
# TCP连接建立/重置包
sudo tcpdump -i any 'tcp[tcpflags] & (tcp-syn|tcp-rst) != 0'

逻辑组合注意事项：

运算符优先级：not > and > or
使用括号明确运算顺序
复杂条件建议先简化测试

三、高级协议解析技术

3.1 HTTP协议深度解析

通过-A参数解析应用层数据，结合grep过滤关键信息：

# 捕获HTTP请求头（GET/POST）
sudo tcpdump -i any -A -s0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | grep -E 'GET |POST |HTTP/'
# 输出示例
GET /api/users HTTP/1.1
Host: example.com
User-Agent: curl/7.68.0

HTTP解析进阶技巧：

使用-X参数指定解析协议（http/ftp等）
结合-s参数控制抓取长度（0表示不截断）
使用-w保存原始数据包供Wireshark分析

3.2 DNS协议解析

捕获DNS查询/响应并解析域名信息：

# DNS查询流量捕获
sudo tcpdump -i any -n -v 'udp and port 53'
# 输出示例
192.168.1.100.54321 > 8.8.8.8.53: 54321+ A? example.com. (28)

DNS解析关键字段：

事务ID（前4字节）
查询类型（A/AAAA/MX等）
查询域名（最后字段）

3.3 TCP状态分析

通过标志位分析连接状态：

# SYN包捕获（连接建立）
sudo tcpdump -i any 'tcp[tcpflags] & tcp-syn != 0'
# RST包捕获（连接重置）
sudo tcpdump -i any 'tcp[tcpflags] & tcp-rst != 0'
# FIN包捕获（连接关闭）
sudo tcpdump -i any 'tcp[tcpflags] & tcp-fin != 0'

TCP状态分析场景：

连接建立失败排查
异常重置检测
连接泄漏诊断

四、生产环境最佳实践

4.1 性能优化建议

使用-c参数限制捕获数量（如-c 100）
结合-w参数保存到文件（如-w capture.pcap）
指定网卡接口（如-i eth0）减少无关流量
使用-n参数禁用域名解析加速处理

4.2 安全审计场景

# 检测可疑SSH登录
sudo tcpdump -i any 'port 22 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)' | grep "Password:"
# 监控DNS外联
sudo tcpdump -i any 'udp port 53 and dst net 8.8.8.0/24'

4.3 故障排查流程

确认监控目标（协议/端口/IP）
构建基础过滤条件
逐步添加复杂逻辑
结合应用日志验证
保存关键数据包

通过系统掌握TCPDump的过滤规则与解析技术，网络工程师可构建高效的流量分析体系，在性能调优、安全审计、故障排查等场景发挥关键作用。建议结合Wireshark等图形化工具进行深度分析，形成完整的网络诊断解决方案。

TCPDump深度实践：从基础过滤到复杂协议分析全攻略