必须用 -s 0 是因默认快照长度仅 68 字节，远不足以解析 http 请求行、tls 握手或 post 内容；-s 0 捕获全包但会增大磁盘 i/o、文件体积和丢包风险，生产环境宜配合 -c 或 -g 限时使用。
用 tcpdump -s 0 捕获全长度报文，是确保 HTTP、DNS、TLS 等协议载荷不被截断的关键操作。默认只抓前 68 或 96 字节，远不足以解析完整请求行、响应头或应用层数据，尤其在分析 POST 内容、Cookie、JWT 或自定义协议时极易丢关键字段。
为什么必须用 -s 0？
Linux 默认快照长度（snaplen）为 65535 字节，但 tcpdump 实际默认仅捕获前 68 字节（老版本）或 262144 字节（新内核+libpcap），而多数发行版仍沿用保守值。若不显式指定 -s 0，常见现象包括：
- HTTP 请求中只看到
GET /，看不到User-Agent或Referer - TCP 数据段显示
[|http]或[|tcp]，表示载荷被截断 - Wireshark 打开 pcap 后无法解码 TLS 握手的 ServerHello Extensions
- JSON/XML 响应体只显示开头几十字节，后续内容不可见
-s 0 的实际影响与权衡
-s 0 表示“捕获每个包的全部原始字节”，但需注意其代价：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 磁盘 I/O 显著升高，大流量下易丢包（buffer overflow）
- 生成的 pcap 文件体积激增（一个 1.5MB 的文件上传包可能占 10MB+ 存储）
- 内存缓存压力增大，-B 缓冲区参数需同步调高（如
-B 4096） - 生产环境长期运行不推荐；调试定位问题时建议配合
-c或时间窗口（-G）使用
典型安全且有效的全包捕获命令
以下命令兼顾完整性、可读性与实用性，适用于 HTTP/TLS/自定义 TCP 协议分析：
- 抓取本机所有进出的 HTTP 流量（端口 80/443），保存为完整 pcap：
sudo tcpdump -s 0 -w http-full.pcap 'tcp port 80 or tcp port 443' - 只看 ASCII 可读内容（适合快速检查 URL、路径、状态码）：
sudo tcpdump -s 0 -A -n 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)>2)) != 0)'（跳过纯 ACK） - 限制数量 + 全长 + 高精度时间戳（便于与日志对齐）：
sudo tcpdump -s 0 -c 500 -tttt -w capture.pcap port 8080 - 排除干扰流量（如只抓某客户端 IP 到服务端 8000 端口）：
sudo tcpdump -s 0 -w api-debug.pcap 'src host 192.168.5.22 and dst port 8000'
替代方案：按需设长，更轻量
若确认只需分析头部（如排查 302 跳转、Content-Type、HTTP 方法），可用更小值平衡效率与信息量：
-
-s 200：覆盖绝大多数 HTTP 请求行 + 请求头（含 Cookie、Authorization） -
-s 1500：匹配典型以太网 MTU，适合抓取不含大 body 的 REST API -
-s 9000：覆盖 jumbo frame 场景，兼顾大 JSON 响应与 TLS record
只要不出现 [|http] 提示，就说明当前长度已满足本次分析目标。
