运维系列：tcpdump命令详解

---

1 概述

Tcpdump是linux环境下抓包工具，可以对对应网络接口流量进行抓取或者过滤抓取，可以打印输出到屏幕，也可以保存到指定文件。指定的文件可以用wireshark来打开查看。可以快速查看符合网络接口符合某一条件的抓包，方便我们确定网络问题。

2 命令格式

可以在linux系统环境下输入man tcpdump回车来查看它的帮助说明。如下图：

其命令格式是: tcpdump 跟踪范围 选项和对应参数 表达式

如

 tcpdump   -i  eth0  -nne icmp

tcpdump -i vxlan00 -w vxlan.pcap

 tcpdump   -i  eth0   -nnevv   host  192.168.205.201  and  icmp

tcpdump的跟踪接口的数据流量，首先得指定跟踪接口，不指定默认是编号最小的接口。

跟踪范围可以是某一个接口，也可以是any所有接口。选项和参数完成输出显示符合一定要求功能。表达式完成过滤一些特殊需要的包。

命令执行后，一般用ctrl+c来终止抓取，有的系统用ctrl+z，有的环境中ctrl+z不生成文件，要生成抓包文件必须用ctrl+c结束后才能生成；结果有输出打印和捕获包数，过滤包数和缓存占满丢弃包数。如下图：

执行结果是时间戳，链路层信息，网络层以上协议相关内容。常见格式就是源目的mac地址和方向，源目的ip地址，方向用>表示。协议的结果看下一章节的协议格式。常用arp，ip，tcp和udp。我们根据具体打印协议格式判断问题。根据选项确定显示格式，通过表达式确定筛选对应的包。

3 常见协议输出格式

我们使用tcpdump的目的是为了解决问题，所以必须了解对应常见协议的输出格式。

通用的格式是时戳，链路层，arp层，ip层，tcp层和udp层。还有其他特殊协议，tcpdump的man手册里有详细解释。我们输出到屏幕的打印，不可能那么详细掌握，知道几个关键点，要仔细研读还是保存到文件里，用wireshark详细判断。

时戳一般是小时，分钟，秒小数点后六位，注意有时需要关注下一包和上一包的时间差，可以用-ttt，如在sip协议，有的时候有重发机制，就可以用到。

sip注册消息重发如下图：绝对时间显示

和上一包时间间隔显示

链路层格式就是源mac和目的mac和方向符>,ether层协议类型，长度，注意命令加选项-e

我们在选项里加上-XX来对比一下链路层的消息，length对应链路层总的字节数。下图我们能看到frame总数。

常用的观察就是ip协议的包，通常单播消息来包和回包的源和目的mac是交换的，若不是，应该是回程路由出了问题。

Arp层格式就是请求和应答

Request arp who-has 目的ip tell 源ip地址

Reply arp reply 目的地址 is-at 请求目的mac地址

实际应用中注意观察是否request是否收到，reply是否发出，这个节点和回程路由相关。

Ip层格式，格式tos , ttl , id , offset , flags , proto , length，我们常见关心的是ttl值，可以知道是内网直连的消息还是经过节点发来的，proto协议可以知道ip层承载的是啥协议？flag看是否有分片标志？

icmp层的协议就是ip层的源和目的ip，消息类型，id，seq，和length，我们关心的就是ping的request的id，seq号，是否和reply的序号是否一致，时间是否超时？ 如虽然id和seq有收到，但大于了5秒，终端还是会显示超时。

icmp层还有错误提示，如目标主机不可达，端口不可达，网络不可达等等。

ping的结果打印

注意观察ip层的ttl的变化。Icmp消息观察request的收发情况，reply的回程mac地址是否变化，没有回reply，多半与防火墙和回程路由相关。

Tcp层的格式

src > dst: flags data-seqno ack window urgent options

Tcp的Flag的介绍：

S (SYN), F (FIN), P (PUSH), R (RST), U (URG), W (ECN CWR), E (ECN-Echo) or `.’ (ACK), or `none’ ，有的是组合，S.就是[syn+ack],R.就是[reset+ack],p.就是[push+ack]

一般出问题多在三步握手上，注意syn消息是否收到，是否回syn+ack，是否ack收到？

若直接reset消息发出，多半端口没有打开，未处于listen态。若syn+ack重发，多半是源主机的ack没有发出或者节点丢失syn+ack。

Udp层格式：发起方ip:端口 > 目的方.端口: udp 协议层长度

注意：若收到udp包，发出icmp包，说明端口未打开。

4 常用的选项和对应参数

• 选项不带参数可以写在一起，如-nev

• 我们使用tcpdump结合它的参数，目的是为了显示结果符合定位数据流的格式，快速找出符合我们需求的包，方便我们分析找到问题。

参数	说明
-D	是显示所有的可跟踪的接口，可以和ip addr配合使用来确定要抓取的网口数字编号或名称；
-i 端口号	是指定抓取网卡的名称或者数字编号；
-n 来关闭dns反向解析功能，-nn是关闭反向查询功能并以数字格式显示ip地址端口号，和url地址。不带这个选项回显会很慢。
-c	用于指定抓取包的包字节数；
-C	用于指定抓取保存文件的大小，单位是兆；
-e	用于显示对应的源，目的的mac地址
-w 文件路径和文件名	用于指定保存文件的路径和名称，没有指定路径默认在系统默认路径下；
-t是不显示时间戳，-tt显示时间戳，-ttt显示请求和响应的时间的时间差；
-v是显示一些协议的详细资料，-vv，-vvv来显示更详细的资料；
-X是用16进制和asc码显示ip层以上各协议包头；
-x 小写x是用16进制打印从ip层开始的帧内容
-xx 小写的xx是用16进制打印从数据链路层开始的帧内容
-X 大写的X是用16进制打印从ip层开始的帧内容
-XX 大写的XX是用16进制打印从数据链路层开始的
-G 后面跟秒数，多少秒后重写另一个文件；
-Z 后面跟用户名，表示要用该用户名来执行；
-r 后面跟抓包文件，读取抓包文件

当选项后面没有参数时，可以把几个选项连接起来使用，如-nne，-envv等等。

5 表达式

当输出到屏幕上时，不过滤会有大量包不停刷新，很难看清某一个消息，这时就需要用表达式进行捕获时过滤，过滤出自己需要的特定包。

表达式是指过滤表达式，对抓包进行预过滤，过滤出需要的包。符合正则表达式的过滤式和wireshark的预过滤描述方法一致。用过wireshark应该不会陌生。

语法：	Protocol	Direction	Host(s)	Value	Logical Operations	Other expression
例子：	tcp	dst	host	192.168.205.201	or	udp port 5060

语法：

Protocol

Direction

Host(s)

Value

Logical Operations

Other expression

例子：

tcp

dst

host

192.168.205.201

or

udp  port  5060

过滤表达式：协议 方向 关键词 值 可以使用关系符如not非，and与，or或或

协议icmp，arp，tcp ，sctp，udp，ether，vlan之类；

如要抓包icmp消息，表达式可以写icmp

过滤arp和icmp消息可以用 arp or icmp

过滤dhcp消息，就可以用包含udp的端口是67或68的条件实现：

udp port 67 or udp port 68

方向源src，目的dst；

如抓主机ip为192.168.205.202的表达式 host 192.168.168.205.202

抓源主机或者目的主机可以src，dst来指定

src host 192.168.168.205.202

dst host 192.168.168.205.202

过滤二层mac地址可以用ether host 00:0e:5e:11:22:33就是过滤保护mac地址为 00:

:0e:5e:11:22:33的所有包。

可以用not来排除区分一个条件，如

not ether host 00:0e:5e:11:22:33 不要这个mac地址的包

过滤某一个网段，如192.168.10.0/24网段的包，可以用了net 192.168.10.0/24的语句

关键词 host主机， port端口， portrange端口范围；

过滤某个端口用port xx，如port 21，tcp port 21

如过滤sip消息可以输入udp port 5060,

过滤rtp消息可以输入udp portrange 10000-65535

多个条件可以使用and ，or，not ；

如要过滤sip消息和语音流消息，udp的5060信令消息rtp的语音流可以

udp port 5060 or udp portrange 10000-65535

两个条件组合的可以用and，or来选择

如过滤192.168.10.0/24网段的icmp消息可以用

net 192.168.10.0/24 and icmp 来实现

对frame长度的过滤可以用greater，less来实现大于等于和小于等于的过滤，如下：

greater 1999 帧长>=1999，less 1999 帧长<=1999

5.1 根据偏移量预过滤

用法协议[x:y]=z 其中x，y为十进制数字，x是协议偏移量，y是截取的字节数，当y为1时，z为十进制，当y大于1时，z为16进制，用0x开头，

如过滤arp的源ip为192打头，arp[14]=192

arp[8:4]=0x000e5e11 过滤arp的源mac地址

如：net 18.250.0.0/24 and not“sctp[12] = 04 or sctp[12] = 05” 过滤18.250.0网段的sctp消息，不含心跳sctp[12] = 04和心跳响应消息sctp[12] = 05。

sctp协议开始第十二字节是消息类型。

6 使用方法执行结果范例

6.1 Tcpdump -D显示对应的系统的网口，用于-i后面指定网络接口用

6.2 -i 网口编号数字或者网口别名 ，指定抓包的端口号和名称进行抓包

-i后面可以跟上面显示的数字编号，也可以使用数字编号“.”后面的名称。但要注意，每个接口都有自己的ip地址，抓包时，要根据具体ip选择网卡的编号。如2,3,4,5,6,7,8,14，如使用-i 1是前者的用法，也就是跟踪eth0.也可使用-i eth0和-i 1是等效的。但注意选择子接口进行抓包和对这个接口抓包是一样的效果。比如抓编号7.eth0:smc的效果和标号1 eth0效果是一样的。

也可以用 -i eth0就抓取eth0上所有子接口ip的消息，这是后一种用法。

6.3 -i any是抓取所有接口接口的消息（这样用-any时，抓包里看不到目的mac地址）

如下图：

 tcpdump  -i any   -nne   host  192.168.205.201 and  icmp

若是保存的抓包文件里，-i any的目的mac地址没有，二层mac层先linux cooked capture

指定具体网络接口后，抓主机ip为192.168.205.201的icmp消息的命令如下：

tcpdump -i eth1 -nne host 192.168.205.201 and icmp，and进行与运行，符合二者的消息才被显示出来。

所以需要看源mac和目的mac时，一定要确定具体的网卡名称或者编号。

当没有指定网卡时，程序会从找一个编号最小的网口进行跟踪。

lo只内部回环ip地址。没有使用-i时，默认抓取最小数字的网络接口。我们下面pc18.250.0.145去ping服务器18.250.0.4为例来显示我们的我们的tcpdump抓包过程。

• tcpdump -i eth0 -n -c 8 icmp；指定eth0，关闭反查dns，抓8包icmp消息后自动结束抓包

6.4 -c用于指定抓包的包数，到达指定包数后自动停止抓包，不用ctrl+c来停止。

下图范例：-c 8抓8包后，自动停止。

tcpdump -i eth0 -nvv -c 8 icmp；加一个-vv会显示更详细的解码，能看协议的一些细节。

6.5 -n 关闭ip地址反查域名

不使用-n时，会反查源ip和目标ip对应的url地址，回显会很慢，几十秒都看不到打印出来，影响判断。

-n用于关闭对ip包的dns反向查询功能，不使用-n，收到包后，系统会执行根据ip反向查询url地址的过程。有时执行tcpdump后，等十几秒才会有显示，使用-n后抓包后立即显示。tcpdump -i 1 -c 15 icmp or udp port 53，我们使用表达式icmp or udp 53来表示抓符合icmp协议的包和进行dns查询的包，为比较期间，我们用两台服务器相互访问为例，wireshark进行抓包比较；

6.6 -nn取消反向dns的过程，立即打印抓包，并用数字显示ip端口之类

下面是一个跟踪2121端口的对比图：

所以为了及时打印显示抓包，一般都用选项-nn来快速显示。

没有使用-i默认是-i 1或者-i eth0，使用最小网络接口编号的进行。

6.7 -tt；-ttt；-tttt的用法

-tt显示时戳，时分秒和秒后6位微秒

-ttt显示每包间的时间差，在一些超时分析，重发分析中常用

-tttt显示每包的日期和时间

6.8 -e 用来显示源，目标ip的mac地址

• 如tcpdump -i eth0 -nne icmp

• 在有ip冲突，ping不通之类与入出mac相关的问题时，最好使用这个选项。如正常的ping消息，request和reply的源和目的地址是相互互换的，若不是，ping的发起方有可能显示time out，这是用-e选项，很容易看出问题。

• 
  不写选项-e则不显示源和目的mac地址，如下图命令tcpdump -i 2 -nn icmp
  
  -i any监视所有端口的icmp消息，这时使用-e抓到包不会显示目的mac地址，要显示目的mac，必须在-i后面使用网卡label或者编号。

6.9 -w写文件，参数是路径和文件名，不写路径默认是系统默认路径

默认路径是/root

注意没有设置抓包大小时，用ctrl+z终止不会生成文件，必须用ctrl+c来终止。下面是生成抓包文件名。

可以用-c来指定抓包个数的大小 字节数。

上面的语句-c 1000是指抓取符合条件的1000包数据后自动停止，条件是arp消息和sctp消息。

查看生成文件的大小

拷贝出来文件查看

打开查看包数符合1000个。

6.10 嵌入式系统一般都有tcpdump命，抓到的抓包文件可用通过tftp命令发出

先打开一个tftp server，和嵌入式设备网络可达，然后用tftp -p -l 文件路径和文件名 tftp的服务器ip这样的格式传出

如tftp server192.168.209.201

6.11 -v的用法详解

• 用向192.1683.206.67的3009端口发udp包来触发icmp的端口不可达消息

• iperf -u -c 192.168.206.67 -p 3009

• 

• 

• 只能看到源目的ip，和简单协议解释

• 我们用-vv开对比看看

• 

• 和源设备的wireshark抓到icmp消息对比，可以看的更多细节

• 

6.12 -x，-xx ，-X，-XX的用法

• 特定需要显示十六进制的包，就需要x的参数组合。

• tcpdump -nnex port 5060和tcpdump -nnexx port 5060的用法比较

tcpdump  -nneX  port 5060和tcpdump  -nneXX port 5060的用法比较

6.13 -r 查看抓包文件，-r后面跟文件名

如tcpdump -nnevv -r icmp.pcap arp[24:4]=0xc0a8d121 or arp[14:4]=0xc0a8d121

查看抓包文件icmp.pcap里，并过滤arp消息，查询192.168.209.33的arp广播和响应消息

清arp缓存，重新ping操作

生成icmp.pcap抓包文件

查看抓包文件并过滤arp请求和响应消息

7 复杂的过滤条件表达式范例

可以用or，and，not来组合过滤条件，如icmp and arp，和wireshark的预过滤语句的写法相同。

如我们要过滤arp消息和其成功后的icmp的ping消息，用服务器18.250.0.25去ping服务器18.250.0.4。

proto[位置:个数] = 0x十六进制数，proto指协议，位置是指协议字段开始的偏移量，个数指从偏移位置开始的字节数，[]里都是十进制数字。

语句：arp[14:4]=0x12fa0019 or arp[24:4]=0x12fa0019 or icmp

Arp请求消息中偏移量为14开始的4个字节是arp请求消息的源ip，arp应答消息偏移量为24开始的4个字节是arp响应reply的目的ip，这条语句就是抓arp查询过程和icmp消息，ip地址是18.250.0.25的消息过程。

过程如下：

在18.250.0.25侧

在18.250.0.4侧有这样的显示

过滤rtp流用用udp[8:1]=0x80

8 Tcpdump执行时的常见错误提示

8.1 -w写文件后文件大小为0，系磁盘占满所致，改在其他目录下保存就ok了

df -h查看磁盘大小，发现磁盘占满，改到写到其他未占满目录下后ok

8.2 抓包写文件发现文件大小只有24byte

含义是只有文件头，一般原因是可能抓错网卡，可以用-i any 可以不写入文件，进行预过滤，看回包源mac地址，再根据源mac和ip addr确定网卡名称，用tcpdump -D核对-i后面的数字或名称。

tcpdump -i 2 -nne -w /tmp/wj03.pcap host 192.168.212.4命令执行后，文件大小为24字节




修正后tcpdump -i 3 -nne host 192.168.212.4 -w /tmp/wj05.pcap

错在把ip addr显示的网卡编号当成tcpdump里-i 的数字编号，没抓对对应网卡端口

8.3 表达式的语法没有错误，但没有交集没有符合条件的包

8.4 根据偏移量和个数过滤出错

proto[位置:个数] = 0x十六进制数，个数必须是1,2,4的偶数

Proto包括：ether，host，arp，sctp，tcp，udp等等

tcpdump -i 1 arp[24:4] = 0x12fa000e or icmp 抓目的ip和icmp消息的抓包，注意源ip是arp[14:x]开始的，目的ip是24开始的。

8.5 syntax error near unexpected token `(’

linux中不能出现（），把括号去掉就没有问题了（需要使用转义符）

用“”来转义就没有问题了

8.6 语法错误

9 解决问题实例

tcpdump抓取流量，输出到屏幕上时，不做过滤，会有大量包弹出，不利于我们判断问题，所以要采用表达式过滤流量，显示特定的包，这样方便我们发现问题。

9.1 范例回程路由的问题确定：

办公环境中的192.168.207.0/24网段pc192.168.207.25要通过路由方式访问服务器18.250.0.25，发现ping不通， 如下图：

看图中表现，ping包已经发出，没有等到响应包，超时了。

time out的可能原因：

1、经过的节点或目的ip设备的防火墙拦截的ping的request消息，导致高层无法收到，所以不回ping的reply消息。

2、跨网段环境中存在ip冲突，导致网关把ping的request消息发给其他mac地址。

3、也与目的主机的路由相关，没有回程路由，如同网段可能掩码错误，没有配置网关的话。

4、在目的侧抓包，有request和reply消息，但因回程路由指向其他ip地址，导致ping的reply消息的目的mac指向其他mac地址，没有回到request消息的源mac上去，导致源ip没有收到ping的reply消息。

5、ping消息的入接口和回程出接口不是设备的同一接口等等原因造成。

6、目的方发出的ping的reply包，但经过的节点有acl拦截了 ，导致源设备没有收到。

处理思路：

在207网段pc侧长ping服务器ip，在服务器侧18.250.0.25侧执行tcpdump看是否收到包，收到了证明前向路由没有问题，没有收到，检查经过节点的路由指向。有回包的话，证明服务器有回程路由，但是否符合上面的原因4和原因6，检查经过节点的回程路由指向，回包在哪一级丢了。没有回包检查是否符合上面1，防火墙拦截？是否有符合3,没有回程路由？是否符合5，入出不在同一接口上？

服务器侧执行tcpdump -nnevv host 192.168.207.25，看到收到ping的request消息，但没有响应reply消息发出。

首先检查回程路由。

发现本身只有直连路由18.250.0.0/24的直连路由，没有回程路由。

确定服务器本身mac地址是d4:ae:52:ce:5c:7b，在上图的tcpdump消息里ping的request消息是由c8:50:e9:67:fa:0c发来的，只要知道这个MAC地址对应的ip，把回程路由指向这个mac地址对应的ip就能实现回程路由。

确定c8:50:e9:67:fa:0c对应的ip的方法,因为发包前，服务器的上级设备应该和服务器在同一网段，并发arp查询消息过来，得到响应后，转发request消息给服务器。知道这样流程后，重新来过，207侧ping服务器上的一个ip18.250.0.7（ping18.250.0.25因为经过节点的三层交换机可能会有这个地址的arp缓存，不一定会发起arp请求，所以ping一个服务器上不常用的ip地址18.250.0.7），服务器侧抓tcpdump -nnevv arp[14:2]=0x12fa and arp[24:2]=0x12fa or host 192.168.207.25看看？它是从协议的起始开始计算偏移量，等号只有一个。

确定是从18.250.0.100的mac c8:50:e9:67:fa:0c发出的arp请求消息，已知18.250.0.100是三层交换机的一个子接口ip地址，由此确定做一个回程路由指向18.250.0.100，考虑办公网的ip段是192.168.192.0/19，因此做一个这样的回程路由看看，route add -net 192.168.192.0/19 gw 18.250.0.100。

添加成功后，再次ping一下看看？

问题解决。

范例2，路由器的dnat是否成功问题判断

需求；双出口设备组网，一个公网固定ip61.185.217.203，一个pppoe拨号网络，当时公网号码219.145.1.248，要求访问公网ip61.185.2017.203的3009端口dnat到内网ip192.168.206.67的3009端口上，并回程包，也从公网ip发出。

9.2 dnat是否成功判断

问题：配置完成后，内网发包，路由从pppoe的219.145.1.248发出访问61.185.217.203的3009端口发现不通，排查可能原因？组网流程如下图：

内网设备挂在三层交换机下，出局流量都走防火墙，防火墙上根据目的ip和协议端口做策略路由进行出包分流，需要走固定ip的放流到ros路由器，snat成固定ip出去。去ros防火墙固定ip的包，走防火墙的pppoe线路出去，snat成pppoe的ip地址。ros路由器收到需要dnat的包，dnat目的地址，直接到三层交换机发出到内网设备。

用cmd下tcping 61.185.217.203 3009去发tcp的握手syn信息去连固定ip的3009端口，发现没有连接成功。

抓包看收到固定ip的rst释放连接，如下图：

现在判断不出，reset消息是路由设备发出的还是内网服务器上发出？是路由器的dnat有问题，数据包没有到内网服务器，直接拒绝连接了，还是到达内网服务器，内网服务器发的reset？

解决思路：

去内网服务器上tcpdump，看看外网访问的包是否到达内网服务器192.168.206.67？是否回reset？

处理过程：

Ssh登录内网服务器192.168.206.67，查看路由和ip

发现仅一个网卡，默认路由也是通过这个网卡出去。

tcpdump  -D查看端口编号

确定是第4口enp2s0

因为无需看看源目的mac地址，执行tcpdump -i 4 -nn tcp port 3009

Cmd下执行，发出tcping -n 1 61.185.217.203 3009发出syn握手消息

发现服务器收到flag是[S],发出的[R.]，服务器是有应答的。

如上图，看到公网pppoe拨号219.145.1.248已经进入服务器，看看服务器已经有应答，看不懂tcp里的里flag的含义，查询一下，有以下说明：

看是pppoe的ip发来的内网ip的tcp的flag是[S]即syn握手请求消息,回的包的flag是[R.],应该是服务器回的reset和ack，和pc侧的wireshark抓包对比。

和pc侧wireshark的tcp消息匹配，证明是服务器侧发出reset消息，导致tcp连接不成功。

考虑一般tcp会reset是端口没有打开，udp会发出icmp端口不可达消息，所以查看一下端口是否打开？

netstat -tuapn检查3009没有打开，让研发处理，可能对于程序没有安装或加载。

在操作系统下，tcpdump的直接应用不可能太复杂，因为要打印显示不出太多细节，细节查看要保存到文件里，在wireshark里慢慢查看，所以尽量用过滤语句，大概确定问题方向既可。

我的另一篇三步搞定子网划分方法和例题详解自觉写的还行，学会可以轻松掌握子网划分方法，有兴趣可以看一下三步搞定子网划分方法和例题详解_wj31932的博客-CSDN博客_划分子网的方法

---

wj31932

tcpdump命令详解