linux查看网络包命令

linux查看网络包命令详细介绍

在 Linux 中查看网络包（抓包）的常用命令主要有 tcpdump 和 tshark（Wireshark 的命令行版本），以下是具体用法和示例：

一、tcpdump（最常用抓包工具）

基本语法

bash

tcpdump 选项 过滤条件

常用选项

过滤条件（核心功能）

1. 按接口抓包
   bash

    tcpdump  eth0  
   
   

2. 按协议过滤（如 TCP、UDP、ICMP）
   bash

    tcpdump  eth0 tcp    
   
    tcpdump eth0 udp 
    tcpdump eth0 icmp 
   

3. 按端口过滤
   bash

    tcpdump  eth0 port           
   
    tcpdump eth0 
    tcpdump eth0 src port 
    tcpdump eth0 dst port 
   

4. 按 IP 地址过滤
   bash

    tcpdump  eth0  .1.1       
   
    tcpdump eth0 src .1.1 
    tcpdump eth0 dst .1.1 
   

5. 组合条件（使用逻辑运算符：and/&&，or/||，not/!）
   bash

    tcpdump  eth0   
   
    tcpdump eth0 
   

6. 保存到文件并分析
   bash

    tcpdump  eth0  capture.pcap  
   
   tcpdump capture.pcap 
   

二、tshark（Wireshark 命令行版本，功能更强大）

需先安装 Wireshark（包含 tshark）：
bash

   wireshark       

 dnf wireshark 

基本语法

bash

tshark 选项 显示过滤器

常用选项

示例

1. 按 HTTP 域名过滤
   bash

    tshark  eth0  example.com\""  
   
   

2. 提取特定字段（如源 IP、目标端口）
   bash

    tshark  eth0  fields  ip.src  tcp.dstport  
   
   

3. 保存为 pcap 文件
   bash

    tshark  eth0  capture.pcap  
   
   

三、其他相关工具（辅助查看网络状态）

1. iftop：实时显示网络流量（按进程 / IP 统计带宽），需安装：
   bash

      iftop  
   
    dnf iftop 
   iftop eth0 
   

2. netstat：查看网络连接、端口状态等（非抓包，而是统计信息）：
   bash

注意事项

1. 权限：抓包需要管理员权限，需用 sudo 执行。
2. 接口名称：通过 ip addr 或 ifconfig 查看当前接口名称（如 eth0、enp3s0、wlan0 等）。
3. 性能影响：长时间抓包可能占用大量磁盘空间，建议配合过滤条件缩小范围。

根据需求选择工具：

• 简单抓包分析：用 tcpdump。
• 复杂过滤或自定义输出：用 tshark。
• 实时流量监控：用 iftop。