tcpdump 默认不保存包，需用 -w 写入 pcap 文件分析；必须加 -s 0 截全包、指定正确网卡（如 lo 回环）、root 权限，过滤用 bpf 语法，iptables 不影响抓包时机。

tcpdump 默认不保存包，只输出到终端；要分析真实流量，必须用 -w 写入文件，再配合 -r 或 Wireshark 查看——直接终端滚动看几万行包，基本没法定位问题。

抓包前必须确认网卡和权限

运行 tcpdump 需要 root 权限，普通用户会报错：tcpdump: ens33: You don’t have permission to capture on that device。别急着加 sudo 就开抓，先查清楚目标网卡是否 UP、是否有流量：

• ip link show 看哪些接口状态是 UP（比如 ens33、eth0 或 lo）
• tcpdump -D 列出所有可捕获的接口，注意 any 是伪接口，能抓所有网卡但不含链路层信息
• 回环流量（如 localhost:8080）必须指定 -i lo，否则在物理网卡上根本看不到

写入文件比实时打印更可靠

终端输出容易丢帧、缓冲溢出，且无法回溯或过滤重放。真正用于分析的抓包，几乎都走文件路径：

• 用 -w file.pcap 保存原始二进制包（推荐 .pcap 后缀，Wireshark 兼容性最好）
• -s 0 必须加上，否则默认只截前 68 字节，HTTP header、TLS handshake 等关键内容全被砍掉
• 加 -nn 避免 DNS 反解拖慢速度，也防止因解析失败导致抓包中断
• 示例命令：sudo tcpdump -i ens33 -nn -s 0 -w debug.pcap port 8080

过滤表达式写错就抓不到想要的包

过滤不是拼凑关键词，而是按 BPF 语法组合原语。常见错误包括：

• 把 host 192.168.1.100 and port 22 写成 host 192.168.1.100 port 22（缺逻辑连接词，会被忽略后半段）
• 想抓响应包却用了 src host A，结果只看到本机发出去的请求，漏掉对端返回的 reply
• HTTP 流量混在 TLS 中？port 443 能抓到包，但 -A 看不到明文——因为加密了，别指望 tcpdump 解密
• 需要方向控制时，优先用 dst host / src port，比笼统的 host 更精准

iptables 规则不影响 tcpdump 抓包时机

这是个高频误解：很多人以为 DROP 规则会让 tcpdump 抓不到包。其实不是。

• 进入方向：包到达网卡 → tcpdump 捕获 → 才进入 iptables PREROUTING 链 → 最终是否被 DROP，不影响已捕获的内容
• 出去方向：应用发包 → 经过 iptables OUTPUT → 若被 DROP，则 tcpdump 在 POSTROUTING 后捕获不到该包
• 所以，若怀疑是 iptables 导致连接不通，应重点抓 OUTPUT 和 FORWARD 链前后的包，而不是只盯 INPUT

实际排查时，最易被忽略的是 -s 0 和网卡选择。一个没加 -s 0 的抓包文件，可能让你反复抓三次才意识到 payload 被截断；而抓了 eth0 却在查 lo 上的服务，等于在错误的地方找钥匙。