最常见原因是网段写法错误或接口选错；tcpdump的net只支持CIDR格式，不接受通配符、范围或子网掩码，且需确认本机IP、接口及流量路径，src net与dst net行为不同，多网段须用and/or/not显式连接。

tcpdump net 192.168.1.0/24 为什么没抓到包

最常见原因是网段写法错误或接口选错。tcpdump 的 net 关键字只支持 CIDR 格式（如 192.168.1.0/24），不接受通配符、范围写法（如 192.168.1.* 或 192.168.1.0-255）或子网掩码（如 192.168.1.0/255.255.255.0）。它匹配的是 IP 层的源或目的地址，不区分方向。

执行 sudo tcpdump -i ens33 net 192.168.1.0/24 却无输出，需检查：

• 用 ip -br a 确认本机是否真在该网段（比如是否是 192.168.1.10/24）；
• 确认流量确实经过 ens33（而非 lo 或桥接接口）；
• 若目标主机和本机在同一网段但走的是本地回环（如容器间通信），net 过滤器不会捕获——因为回环流量目的 IP 是本机，不属于“外部网段”。

src net 和 dst net 的区别必须分清

src net 只匹配源 IP 属于该网段的数据包，dst net 只匹配目的 IP 属于该网段的包。两者行为完全不同，不能互换。

例如排查某台服务器是否正被内网扫描：

• 想看“谁在扫我”，用 sudo tcpdump -i any 'dst net 10.0.2.0/24'（假设本机 IP 是 10.0.2.15）；
• 想看“我在扫谁”，用 sudo tcpdump -i any 'src net 10.0.2.0/24'；
• 想同时看双向，直接用 net 10.0.2.0/24，等价于 src net 10.0.2.0/24 or dst net 10.0.2.0/24。

注意：逻辑运算符必须用小写 and/or/not，且整个表达式建议加单引号，避免 shell 解析空格或特殊字符。

过滤多网段时 and/or/not 组合怎么写才有效

多个网段组合不是简单拼接，必须显式用布尔逻辑连接。tcpdump 不支持逗号分隔或多参数叠加。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

正确写法示例：

• 抓来自 A 网段或 B 网段的流量：sudo tcpdump -i eth0 'src net 192.168.1.0/24 or src net 172.16.0.0/16'；
• 抓发往 C 网段但**不**发往 D 网段的包：sudo tcpdump -i eth0 'dst net 10.10.0.0/16 and not dst net 10.10.5.0/24'；
• 混合协议与网段（如只抓 A 网段的 TCP 流量）：sudo tcpdump -i any 'tcp and src net 192.168.2.0/24'。

漏掉引号、大小写错误（如写成 OR）、或把 and 当成 shell 的 &&，都会导致语法失败或过滤失效。

保存 pcap 时 net 过滤器是否影响文件体积

是的，而且影响显著。使用 net 过滤器是在内核 BPF 层完成的，匹配失败的包根本不会复制到用户空间，所以 -w capture.pcap 写入的文件只含符合条件的数据包，IO 和磁盘占用都更小。

但要注意：

• 如果网段范围过大（如 net 0.0.0.0/0），等于没过滤，文件会迅速膨胀；
• 若误用 host 替代 net（比如 host 192.168.1.0），实际只匹配单个 IP，会漏掉整个网段；
• net 不支持 IPv6 网段缩写（如 fd00::/8 必须写全，部分老版本内核可能不识别）。

真正容易被忽略的是：网段过滤本身不保证你能看到完整会话——TCP 三次握手的第一个 SYN 包若源 IP 不在指定网段，哪怕后续 ACK 来自该网段，也会被 src net 过滤器直接丢弃。