tcpdump本身不解析snmp协议内容，但可准确捕获udp端口161（查询）和162（trap）的数据包；需用sudo提权、指定接口（如eth1）、禁用dns解析（-n），并推荐保存为pcap文件供wireshark深度分析。
确认目标设备与网络路径
内网设备（如交换机、路由器、UPS）需已配置 SNMP Agent 并允许来自你抓包主机的访问。确保两者处于同一广播域或路由可达，且中间无 ACL/防火墙拦截 UDP 161/162 端口。建议先用 snmpwalk -v2c -c public 192.168.10.5 1.3.6.1.2.1.1.1.0 验证基础连通性，避免抓到空流量。
使用 tcpdump 捕获 SNMP 相关 UDP 流量
执行以下命令之一（需 root 权限）：
-
捕获所有 SNMP 查询（目标端口 161）和 trap（源端口 162）：
sudo tcpdump -i eth1 -n udp port 161 or port 162 -
只抓发往某台设备的 SNMP 查询（例如 192.168.10.5）：
sudo tcpdump -i eth1 -n udp dst host 192.168.10.5 and port 161 -
同时抓该设备发出的 trap（常见于告警上报）：
sudo tcpdump -i eth1 -n udp src host 192.168.10.5 and port 162
其中 -i eth1 指定内网接口（请替换为你的实际接口名，可用 tcpdump -D 查看）；-n 禁用 DNS 反查，提升实时性与准确性。
保存为 pcap 文件供深度分析
现场抓包易受干扰，推荐先导出文件再用 Wireshark 分析协议细节：
- 保存最近 100 个 SNMP 相关包：
sudo tcpdump -i eth1 -n udp port 161 or port 162 -c 100 -w snmp-monitor.pcap - 持续捕获 5 分钟（适合观察周期性轮询）：
sudo tcpdump -i eth1 -n udp port 161 or port 162 -G 300 -w snmp-%Y-%m-%d_%H:%M:%S.pcap
生成的 .pcap 文件可在 Wireshark 中直接打开，它会自动识别 SNMP 协议，展开 PDU 类型（GetRequest、Response、Trap-v2）、变量绑定（OID + 值）、错误状态等，是判断设备 CPU、内存、接口 up/down 等状态的核心依据。
快速识别异常行为
仅靠 tcpdump 输出也能发现典型问题：
- 有大量发往设备 161 端口的请求但无响应 → 设备 SNMP Agent 崩溃或被禁用
- 频繁收到同一设备发来的 162 端口 trap → 可能存在接口震荡、温度越限等连续告警
- 源端口非 161/162 但目的 IP 是设备且含 SNMP OID 字符串（可用
-A查看 ASCII）→ 可能是非标实现或误配
注意：SNMPv3 加密流量在 tcpdump 中仅显示为普通 UDP 包，无法解密内容，需结合设备日志或启用 v3 的明文调试模式（不推荐生产环境）。
