tcpdump与wireshark配合需构建完整分析链：抓包时必须用-s 0和-w保存完整pcap，分层过滤（bpf+显示过滤器），保留时间戳与接口信息，并在wireshark中善用协议树、follow tcp stream及expert info高效分析。
tcpdump 和 Wireshark 配合使用，不是简单“先抓后看”，而是构建一条从精准采集到结构化解读的完整分析链。关键在于让 tcpdump 捕获的数据，能被 Wireshark 高效、准确地还原协议语义——这需要在抓包阶段就做对几件事。
抓包参数必须带 -s 0 和 -w
默认情况下，tcpdump 只截取每个数据包的前 68 字节（或 262144 字节，取决于系统），这对 TCP 头部够用，但会丢掉 HTTP 请求行、TLS 扩展字段、DNS 查询名等关键载荷内容。Wireshark 打开后可能显示 “Malformed packet” 或无法解析应用层协议。
- -s 0：强制捕获完整数据包（不限长度），是深度协议分析的前提
- -w capture.pcap：保存为标准 PCAP 格式，确保 Wireshark 兼容性
- 避免用
-A或-X直接输出文本——它们只展示片段，且丢失时间戳、校验和等元数据
过滤要分两层：内核级 + 应用级
tcpdump 的 BPF 过滤器运行在内核态，效率高；Wireshark 的显示过滤器运行在用户态，语法更灵活。两者配合，才能兼顾性能与精度。
- tcpdump 中用
port 443 and host api.example.com缩小原始数据量，避免磁盘爆满 - Wireshark 中再用
http.request.method == "POST" && tls.handshake.type == 1筛选具体行为 - 不要依赖 tcpdump 做复杂逻辑（如 “HTTP 且状态码为 500”）——BPF 不支持应用层字段，这类过滤必须交给 Wireshark
时间戳和接口信息要保留
Wireshark 依赖精确时间戳做 RTT 计算、重传识别；依赖接口索引做多网卡场景下的路径判断。tcpdump 默认满足，但需注意：
- 避免加
-t（不打印时间戳）或-q（精简输出）——这些只影响终端显示，不影响 pcap 文件 - 若抓包环境有多个网卡（如 eth0 + docker0），建议显式指定
-i eth0，并在 Wireshark 中通过_ws.col.Interface列确认来源 - 抓包前同步服务器时间（
sudo ntpdate -s time.windows.com或 systemd-timesyncd），防止跨设备分析时序错乱
Wireshark 分析要善用协议树和专家诊断
打开 pcap 后别只盯着原始十六进制窗口。真正提升分析效率的是 Wireshark 内置的协议解码能力：
- 点开任意 TCP 包 → 左侧“Packet Details”中展开“Transmission Control Protocol”，可直接看到 Seq/Ack/Window/Flags/RTT 等字段
- 右键某条 HTTP 流 → “Follow” → “TCP Stream”，自动重组会话内容，直观查看请求头、响应体、JSON 数据
- 顶部菜单 Analyze → Expert Info：自动标出重传、重复 ACK、零窗口、乱序等异常，比人工扫包快十倍
- 用
tcp.analysis.retransmission显示过滤器，一键定位所有重传包，再结合 Sequence Number 追溯源头
不复杂但容易忽略。
