关键是要用-s0参数，因tcpdump默认仅抓68或262144字节，易截断tls/http等大包，导致出现[|tcp]标记；-s0可捕获完整载荷，但会增加资源开销，需按需权衡。
要让 tcpdump 抓到完整数据包，关键就是正确使用 -s 参数设置足够大的捕获长度。
为什么需要显式设置 -s？
tcpdump 默认并不抓完整包——老版本默认只抓前 68 字节，新版本虽提升到 262144 字节，但依然可能截断大包（比如含 TLS payload、HTTP body 或文件传输的数据）。一旦截断，输出中会出现 [|tcp]、[|ip] 这类标记，说明协议头之后的内容缺失，无法做深度分析。
如何确保不截断？用 -s0
-s0 是最直接可靠的方式：它告诉 tcpdump “不限制长度”，实际会按系统支持的最大值（通常是 65535 或更高）抓取每个数据包的全部载荷。
- 命令示例：
sudo tcpdump -i eth0 -s0 -w full.pcap port 443 - 适用场景：协议逆向、提取文件、分析加密流量载荷、排查应用层异常
- 注意：-s0 不等于“无代价”——内存占用和磁盘写入量会上升，生产环境需权衡
按需设值：平衡完整性与开销
如果明确知道只需协议头或特定字段，可设较小值节省资源：
-
-s 74：刚好覆盖以太网帧 + IP 头 + TCP 头（不含选项），适合快速看连接建立/断开 -
-s 128：含常见 TCP 选项（如时间戳、SACK），适合分析重传、窗口行为 -
-s 512：能覆盖多数 HTTP 请求行 + 首部，兼顾效率与可用性
判断是否够用，可先用 -s0 抓一小段，用 Wireshark 查看实际包长分布，再反推合理 snaplen 值。
验证是否完整抓取
执行后观察输出或 pcap 文件：
- 终端实时输出中没有 [|xxx] 标记 → 基本完整
- 用
wireshark -r file.pcap打开，选中任意 TCP 流 → 右键 “Follow → TCP Stream” → 若内容连续无省略，说明未截断 - 对比原始包长（Wireshark 中 “Length” 列）与你设置的 -s 值：若所有包 Length ≤ -s 值，则安全
