tcpdump的使用，及tcpdump抓不到自己服务器的包（帧）——记录篇

初学网络抓包（帧）工具——tcpdump，很多东西也都是在《linux高性能服务器》这本书学到的，在有不会的搜了很多博客。我是真的体验到了体验抓包的快乐，为啥要抓包？最简单定义分析网络状况，分析一下服务器是否有异常（现在这些我也不知道，我现在对抓包最大的感觉就是很快乐，尤其是抓到客户端连接我的服务器，和客户端关闭服务器的时候，真的看到了TCP三次握手和四次挥手，以前只在书本上见过各种图，什么样的图都见过，当自己亲身抓到了一次，这种感觉老棒了）。

tcpdump参数

X:包的内容也可以查看的到
i:指定要监听的网卡(我看别人的的都是把-i分开装的)
-n:指定将每个监听到数据包中的域名转换成IP地址后显示，不把网络地址转换成名字；
-nn： 指定将每个监听到的数据包中的域名转换成IP、端口从应用名称转换成端口号后显示

-v :输出一个稍微详细的信息，例如在ip包中可以包括ttl和服务类型的信息；

host 是IP地址
port是端口号

sudo tcpdump  -i lo host 127.0.0.1 and port 9996

抓自己的服务器的包

linux系统有很多块网卡，可以用ifcongig -a打出来，你自己写的服务器一定要监听lo这块网卡，不要监听别的网卡，监听有回环地址的网卡，不然监听上网的那块网卡是监听不到的

TCP三次握手四次挥手

真是直观的感受到了TCP三次握手和四次挥手，上面的是三次握手，浅分析：S代表SYN，win是滑动窗口的大小。

后面的是四次挥手，F是FIN。

抓IP分片的包

tcpdump -ntv -i wlp1s0 icmp #-i 指出要监听的网卡，后面可以跟监听的协议

ping发送1473个包，ICMP的头文件8个字节（有的不一样），IP数据包真的切成两个了（20个字节是IP数据头，8个字节是ICMP，1472是数据内容，剩下的一个字节被切片了，下次在发）

一台电脑192.168.1.101 子网掩码255.255.0.0 一台电脑电脑192.168.1.103子网掩码255.255.255.0，网关是相同（wireshark网络分析就这么简单这本书里的开篇问题，在此引用一下），我以前以为子网掩码不同是不可以ping通的呢，会了抓包工具还需要主观猜测和靠蒙？不需要啦,大人时代变了，你抓一下包不久知道都是怎么一回事了嘛！通过arp广播，大家都走一下网关就可以快乐的通信（玩耍）了

待抓