如何使用TCPDUMP（持续。。。）

How To Use Tcpdump

Parameter Description

-i  specify the network card. (E.g eth0)  
-c  specify the numbers of packets that the Tcpdump can capture 
-v  it can produce more detailed data
-e  it can print the link header data
-D  it can print network interface that can capture packets. (E.g tcpdump -D)
-n  display the address in numbers
-nn in addition to the function of '-n',the port can also be displayed in digital form.

Output Format

例一，dns捕获

tcpdump -nn -v -i enp1s0 port domain
enp1s0 是ubuntu18.04中的网卡名称
此时在另外一个终端，输入：
host www.taobao.com
在第一个窗口得到如下输出：
插图
hh:mm:ss.xxxxxx 表示时间，在手册中提到改时间很精准。 ttl 剩余跳数。 id （ipv4标识 Identification）对于每个数据包都不同，逐个加1。offest分片偏移。flag(DF)不分片（Don‘t Fragment)。proto 协议类型。length 长度，此处包含UDP和IP头部。
为 src > dst形式，前面为IP地址，最后一个点后面是端口号。’+‘前面是查询编号。 ’+‘ 代表如果服务器不知道答案，向别的服务器请教。[1au] 暂时不知道。A?是要知道后面那个网址的地址的意思。（）中数组是此次查询大小的结果，单位字节。
下面一条， 4/0/1这个使用’/‘隔开的意思是，4条应答记录，0条名称服务器记录，以及1条附加记录(根据tcpdump man手册)。CNAME(别名记录)，后面的A为(Addriess 记录)。这一条的意思是，’www.taobao.com‘ 这个网址是 ’www.taobao.com.danuoyi.tbcache.com‘ 这玩意的别名，这玩意还有四个网址分别是……
下一条，有了上面得分析接下来得就不是个事了。虽然[1au]依然不知道什么意思！！AAAA? 就是要问问那个几个IP得MAC地址是多少。
下~， 然后就告诉它，这四个MAC地址都是啥。
下~， 然后它又问， ’www.taobao.com.danuoyi.tbcache.com‘ 这玩意得记录。MX？，(MX recard 邮件交换记录) 问后面的地址这个记录，解释如下：

邮件交换记录 (MX record)是域名系统（DNS）中的一种资源记录类型，用于指定负责处理发往收件人域名的邮件服务器。MX记录允许设置一个优先级，当多个邮件服务器可用时，会根据该值决定投递邮件的服务器。简单邮件传输协议（SMTP）会根据MX记录的值来决定邮件的路由过程。——百度百科
用于电子邮件系统发邮件时根据收信人的地址后缀来定位邮件服务器。域名的MX记录需要到域名管理界面才可以更改。
例如，当有人发邮件给“vincen@example.com”时，系统将对“example.com”进行DNS中的MX记录解析。如果MX记录存在，系统就根据MX记录的优先级，将邮件转发到与该MX相应的邮件服务器上。 ——腾讯企业邮 帮助中心

我也不知道为什么要问这个邮箱干什么。反正是问了(再好好研究一下dns协议吧)。
下~，回了个 0/1/1 这个和上面那个解释不太一样。这个代表答案记录数、域名服务器授权记录、其他记录(貌似和上面是一样的哦，就是换了个叫法。《Effective TCP/IP Programming》中的解释
**破案了(20.1.7)！**这三个是DNS协议的消息头后6个字节。
下~， 和上面一模一样就不逐条解释了。

例二，ping包捕获

窗口1(由于ping是根据icmp协议实现的)：
tcpdump -s 1500 -vv -i enp1s0 icmp or ftp
窗口2(随便找一个不能成功的连接)：
ftp 172.21.2.66
插图
从那个icmp报文开始。
说的比较明白，是网络不可达
下面还有一个UDP报文，NXDomain 意思是域名不存在。PTR也是一个邮件记录（不懂为什么要这么做）。
下表为完整的ICMPV4 网络不可达报文格式(下方数字为各个部分字节数)：

IPV4头	ICMP头	违规数据报IP头	UDP/TCP头	差错数据
20	8	20	8	<=520

尽可能包含尽量多的ICMP报文，但是总长度不得超过 20+8+20+8+520=576字节。——TCP/IP卷一原书368页

其他一些使用Tcpdump的例子

#抓取所有经过eth1，目的或源端口是25的网络数据
tcpdump -i eth1 port 25  

#指定目的端口 
tcpdump -i eth1 dst port 25  

#指定源端口
tcpdump -i eth1 src port 25

#网络过滤
tcpdump -i eth1 net 192.168
tcpdump -i eth1 src net 192.168
tcpdump -i eth1 dst net 192.168

#协议过滤
tcpdump -i eth1 arp
tcpdump -i eth1 ip
tcpdump -i eth1 tcp
tcpdump -i eth1 udp
tcpdump -i eth1 icmp

#抓大于X字节的包
tcpdump -i eth1 'ip[2:2] > 600'

#抓HTTP get的数据包
tcpdump -i eth1 'tcp[(tcp[12]>>2):4] = 0x47455420'

02-06 update
比较好的文章

-a：尝试将网络和广播地址转换成名称；
-c<数据包数目>：收到指定的数据包数目后，就停止进行倾倒操作；
-d：把编译过的数据包编码转换成可阅读的格式，并倾倒到标准输出；
-dd：把编译过的数据包编码转换成C语言的格式，并倾倒到标准输出；
-ddd：把编译过的数据包编码转换成十进制数字的格式，并倾倒到标准输出；
-e：在每列倾倒资料上显示连接层级的文件头；
-f：用数字显示网际网络地址；
-F<表达文件>：指定内含表达方式的文件；
-i<网络界面>：使用指定的网络截面送出数据包；
-l：使用标准输出列的缓冲区；
-n：不把主机的网络地址转换成名字；
-N：不列出域名；
-O：不将数据包编码最佳化；
-p：不让网络界面进入混杂模式；
-q ：快速输出，仅列出少数的传输协议信息；
-r<数据包文件>：从指定的文件读取数据包数据；
-s<数据包大小>：设置每个数据包的大小；
-S：用绝对而非相对数值列出TCP关联数；
-t：在每列倾倒资料上不显示时间戳记；
-tt： 在每列倾倒资料上显示未经格式化的时间戳记；
-T<数据包类型>：强制将表达方式所指定的数据包转译成设置的数据包类型；
-v：详细显示指令执行过程；
-vv：更详细显示指令执行过程；
-x：用十六进制字码列出数据包资料；
-w<数据包文件>：把数据包数据写入指定的文件。

IP COMMAND

原文链接
写的也不错

• Address: IP addresses and ranges.
• Link: Network interfaces, such as wired connections and Wi-Fi adapters.
• Route: The rules that manage the routing of traffic sent to addresses via interfaces (links).

ip addr show / ip addr  / ip a
ip addr show dev eth0
ip addr add 192.168.4.4/24 dev eth0
ip addr del 192.168.4.2/24 dev eth0

ip link show
sudo ip link set eth0 up
sudo ip link set eth0 down

ip route show
sudo ip route add 192.168.4.4/24 dev eth0 metric 100
sudo ip route del 192.168.4.4/24 dev eth0

显示网络统计数据
ip -s -s link

brctl command

网址

brctl show

brctl addif beg dev #add dev to brg

brctl delbr dev #delete dev bridge

brctl addif dev eth0 eth1 # add multiple interface to bridge