tcpdump仅原生支持标准协议及部分ipv6/tcp扩展头的基础识别，无法解析私有协议或内层载荷；可通过过滤表达式定位、-x/-a显示原始字节、结合wireshark/tshark/scapy实现深度解析。
tcpdump 本身不支持解析自定义或非标准协议扩展头（比如某些私有协议、VXLAN/GRE 内层载荷、IPv6 扩展头中的特定类型、或应用层自定义字段），它只内置解析常见标准协议（IP、TCP、UDP、ICMP、ARP、DNS、HTTP 等）的固定结构。但你可以通过组合过滤、显示控制和外部工具，间接实现对扩展头相关流量的定位与初步分析。
明确哪些“扩展头”能被 tcpdump 原生识别
tcpdump 对部分标准扩展头有基础支持：
-
IPv6 扩展头：如 hop-by-hop、routing、fragment、destination options，tcpdump 能识别并显示其存在（如
ip6 nh 0表示 hop-by-hop），但不会展开解析其中 TLV 字段；-v或-vv可显示扩展头类型和长度，但不解释业务含义。 -
TCP 选项：如
tcp[tcpflags] & (tcp-syn)、tcp[12:1] & 0xf0 > 0x20（检查 TCP option length > 32），可手工提取偏移量判断是否存在 SACK、MSS、TS 等，但无法自动解码语义。 -
UDP/TCP 负载中的协议头：例如 VXLAN 封装的 UDP 包（dst port 8472），tcpdump 只识别外层 UDP+IP，内层以太网帧/原始 IP 包作为 payload 显示为十六进制——需配合
-X或-A查看原始字节，再人工或脚本解析。
用过滤表达式聚焦含扩展头的包
不依赖解析能力，先精准抓到目标流量：
- 抓 VXLAN 流量：
sudo tcpdump -i eth0 udp dst port 8472（标准 VXLAN 端口） - 抓含 IPv6 路由扩展头的包：
sudo tcpdump -i eth0 ip6 and ip6[6] == 43（IPv6 next header = 43 表示 routing header） - 抓 TCP 含时间戳选项的 SYN 包：
sudo tcpdump -i eth0 'tcp[12] & 0xf0 > 0x20 and tcp[tcpflags] & (tcp-syn) != 0'（TCP data offset > 5 × 4 字节，且 SYN 标志置位） - 抓 GRE 封装包：
sudo tcpdump -i eth0 proto 47（IP protocol number 47 是 GRE）
用显示参数辅助人工识别
让原始字节更易读，便于对照协议规范比对：
-
-X：同时显示十六进制 + ASCII，适合逐字节核对扩展头字段位置（如 VXLAN VNI 在 UDP payload 第 4–7 字节） -
-A：纯 ASCII 显示，对含文本载荷的扩展协议（如某些 API 封装）更直观 -
-s 0：确保截取完整包，避免扩展头被截断 -
-nn：跳过 DNS 和端口名解析，加快输出，避免干扰
结合外部工具做深度解析
tcpdump 抓包后导出为 pcap，交给专业工具处理：
- 导入 Wireshark：它内置大量协议解码器（包括 VXLAN、GRE、MPLS、IPv6 扩展头、自定义 dissectors），可图形化展开每一层头字段
- 用 tshark 命令行解析：
tshark -r capture.pcap -T fields -e vxlan.vni -e ip.src提取 VXLAN VNI 和源 IP - 写 Python 脚本 + Scapy：读取 pcap 文件，用 Scapy 的分层解析能力访问任意扩展头字段，例如
pkt[VXLAN].vni或pkt[IPv6].ext_hdrs
