tcpdump(二）两个选项

tcpdump分为三部分：

1. 选项
2. 过滤表达式
3. 输出信息

-e 选项 --- 增加以太网帧头信息输出

这是不带 -e 选项的输出

[root@test ~]# tcpdump -i ens39 -c 1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens39, link-type EN10MB (Ethernet), capture size 262144 bytes
14:37:06.763457 IP 192.168.146.131.bootpc > 192.168.146.254.bootps: BOOTP/DHCP, Request from 00:0c:29:ea:62:16 (oui Unknown), length 300
1 packet captured
2 packets received by filter
0 packets dropped by kernel

这是带 -e 选项的输出

[root@test ~]# tcpdump -i ens39 -e -c 1
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens39, link-type EN10MB (Ethernet), capture size 262144 bytes
14:43:46.830536 00:50:56:c0:00:01 (oui Unknown) > 01:00:5e:00:00:fb (oui Unknown), ethertype IPv4 (0x0800), length 70: 192.168.146.6.mdns > 224.0.0.251.mdns: 0 A (QM)? wpad.local. (28)
1 packet captured
51 packets received by filter
0 packets dropped by kernel

通过对两个命令的输出比较，我们可以看到，增加了-e选项的命令输出中多出了MAC地址信息，这就是以太网头里面的内容了。

刚才带有-e选项的输出中，我们发现 oui Unknown 的字样

OUI ，即Organizationally unique identifier ,是“组织唯一标识符”，在任何一块网卡(NIC)中烧录的6字节MAC地址中，前3个字节都是OUI，其代表了网卡制造商。通常情况下，该标识符是唯一的。

在我们的例子中，由于没有识别出网卡制造商，所以显示 oui Unknown。

---

 -l 选项 --- 让输出变为行缓冲

-l 选项作用就是将tcpdump的输出变为"行缓冲"方式，这样可以确保tcpdump一旦遇到换行符，就会立即将行缓冲的内容输出到标准输出(stdout)，以便于我们利用管道或重定向方式进行后续处理，而不会造成延迟。

众所周知，UNIX／Linux的标准I/O提供了全缓冲、行缓冲、无缓冲三种缓冲方式。标准错误是不带缓冲的，而终端设备常为行缓冲，其他情况默认都是全缓冲的。

大家在使用tcpdump时，有时会有这样的需求：”对于tcpdump输出的内容，提取每一行的第一个域，即时间域“，并输出出来，为后续统计所用。这种情况我们 就需要使用 -l 选项。

[root@test ~]# tcpdump -i ens39 -l | awk '{print $1}'
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens39, link-type EN10MB (Ethernet), capture size 262144 bytes
15:18:41.945846
15:18:41.946643
15:18:41.947525
15:18:41.948236
^Ctcpdump: Unable to write output: Broken pipe

如果不加 -l 选项的话，那么只有当缓冲区全部占满时，tcpdump才会将缓冲区的内容输出出来，这样不仅会导致输出时总是间断不顺畅的，而且当你 按下 Ctrl+c 组合键时，很可能会断到一行内容的半截部分，损坏统计数据的完整性，也影响了可续性。

---