新手监控特定ip段非法udp探测流量的核心是“精准过滤+合理捕获+快速识别”，需先确认目标网段（如192.168.10.0/24）和监听网卡（如eth0），用sudo tcpdump -i eth0 -nn -c 100 'net 192.168.10.0/24 and udp'抓包，结合dst/src net区分进出方向，排除53/123/67/68等合法端口，并通过包长、端口规律性和源ip分布识别扫描行为。
新手监控特定IP段的非法UDP探测流量，核心是“精准过滤 + 合理捕获 + 快速识别”。不需要装图形工具，一条命令就能启动，关键是写对过滤表达式、选对网卡、设好抓包长度和时长。
确认目标网段和监听接口
先查清楚你要监控的IP段（比如 192.168.10.0/24）和实际收发流量的网卡（如 eth0 或 ens33）。用下面命令列出可用接口：
sudo tcpdump -D
再查本机IP和网段范围，避免误配：
ip addr show | grep "inet "
注意：非法UDP探测常表现为大量短小、无规律、高频率的UDP包（如端口扫描、DNS放大试探），目标通常是未开放服务的端口或广播地址。
抓取该网段进出的UDP流量
用 net 关键字匹配整个子网，加上 udp 协议限定：
sudo tcpdump -i eth0 -nn -c 100 'net 192.168.10.0/24 and udp'
说明：
- -nn：不解析IP和端口名，避免DNS查询拖慢或干扰；
- -c 100：只抓100个包就停，防止刷屏或误伤生产；
- 'net 192.168.10.0/24 and udp'：只捕获源或目的在该网段内的UDP包；
- 若只想看“进来的”探测（即别人扫你），加 dst net 192.168.10.0/24；
- 若只想看“出去的”异常（如内网主机被控外连），用 src net 192.168.10.0/24。
识别非法UDP探测的关键特征
合法UDP流量通常有固定模式（如DNS查53端口、NTP查123端口、DHCP查67/68）。非法探测则常表现为：
- 大量不同源IP、相同目的IP+端口（疑似端口扫描）；
- 目的端口杂乱（如连续出现 1234、5678、9999 等非常规端口）；
- 包长极小（
- 短时间内同一源IP发向多个目的端口（可用 -w dump.pcap 后用Wireshark排序分析）。
快速筛查命令示例（只显示UDP包的源IP、目的IP、目的端口、包长）：
sudo tcpdump -i eth0 -nn -r dump.pcap udp -A 2>/dev/null | awk '{print $3,$5,$NF}' | head -20
进阶：自动过滤高风险UDP行为
可组合逻辑排除已知合法流量，聚焦可疑行为。例如：
sudo tcpdump -i eth0 -nn -s 0 'net 192.168.10.0/24 and udp and not port 53 and not port 123 and not port 67 and not port 68'
这会跳过DNS、NTP、DHCP等常规UDP服务，剩下就是需要人工核查的“非标”UDP包。
如需长期监控，建议加 -w alert-$(date +%s).pcap 自动保存，并配合 timeout 60 限制运行时间，避免失控。
