tcpdump

类型的关键字

主要包括host，net，port
例如:
host 210.45.114.211，指定主机 210.45.114.211
net 210.11.0.0 指明210.11.0.0是一个网络地址
port 21 指明端口号是21。如果没有指定类型，缺省的类型是host

传输方向的关键字

主要包括src，dst，dst or src，dst and src
举例:
src 210.45.114.211 ,指明ip包中源地址是210.45.114.211
dst net 210.11.0.0 指明目的网络地址是210.11.0.0
如果没有指明方向关键字，则缺省是src or dst关键字。

协议的关键字

主要包括 ether，ip，ip6，arp，rarp，tcp，udp等类型。
如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。

三种逻辑运算

逻辑运算 　　表示方法
取与 　　　　 “and”或“&&”
取或 　　　　 “or”或“ll“”
取非 　　　　 “not”或“!”

常用命令

  tcpdump -i eth0 -e -p udp -x port 10000

抓取网卡eth0上10000端口的udp包

  tcpdump -i eth0 -e udp ‘port 10000 or port 10001’

抓取网卡eth0上10000或10001端口的udp包

  tcpdump -i eth0 -e udp ‘portrange 10000-10005’

抓取网卡eth0上端口范围是10000到10005的udp包

  tcpdump -i eth0 ether proto 0x88f7 -x

抓取时间同步，以太封装的PTP (Precision Timing Protocol)报文，其帧头中以太类型值=0x88F7。

  tcpdump -w ./tcpdump.cap

  该文件可以通过wireshark打开。

选项参数