host是最简洁常用的流量捕获方式，可一次性捕获指定ip的所有进出流量；src和dst用于精确区分出入方向；net支持网段批量捕获；组合端口、协议等条件可聚焦关键业务流量。
直接用 host 是最简洁、最常用的方式，能一次性捕获与指定 IP 的所有进出流量，适合快速定位主机行为。
精准匹配单台主机流量
使用 host IP地址 可捕获该 IP 作为源或目的的所有数据包。例如：
-
tcpdump host 192.168.1.100—— 抓取所有经过该主机的双向通信 - 搭配
-i eth0可限定接口：tcpdump -i eth0 host 192.168.1.100 - 加
-nn避免解析耗时：tcpdump -nn host 192.168.1.100
区分方向：只抓入站或出站流量
当需隔离通信方向时，src 和 dst 比 host 更精确：
-
tcpdump src 192.168.1.100—— 仅源为该 IP 的包（它发出的流量） -
tcpdump dst 192.168.1.100—— 仅目的为该 IP 的包（发给它的流量） - 组合使用可排除干扰：
tcpdump src 192.168.1.100 and not dst 192.168.1.200
扩展到网段：批量覆盖多台主机
用 net 替代 host，配合 CIDR 表示法处理子网：
-
tcpdump net 192.168.1.0/24—— 捕获整个 C 类子网内任意主机的流量 - 限制协议提升效率：
tcpdump tcp and net 10.0.5.0/24 - 排除特定子网：
tcpdump dst net 172.16.0.0/12 and not dst net 172.16.10.0/24
组合条件：聚焦关键业务流量
将主机过滤与其他条件叠加，缩小分析范围：
- 只看某主机的 Web 流量：
tcpdump host 192.168.1.100 and port 80 - 限定协议+端口+方向：
tcpdump tcp and src 192.168.1.100 and dst port 22 - 保存结果便于复盘：
tcpdump -w web-server.pcap host 192.168.1.100 and port 443
