tcpdump 本身不直接生成摘要报表，但可通过捕获→过滤→格式化→统计四步组合 unix 工具快速生成轻量级流量摘要，支持按 ip、协议、端口等维度统计及导出 csv。

tcpdump 本身不直接生成“摘要报表”，它是一个实时抓包和过滤工具，输出的是原始数据包的文本流或二进制 .pcap 文件。但通过组合使用 tcpdump 的选项、BPF 过滤器、标准 Unix 工具（如 awk、grep、sort、uniq）以及后续导入 Wireshark/tshark，完全可以定制化生成结构清晰、聚焦业务场景的网络流量摘要报表。

---

如何用 tcpdump 快速生成轻量级流量摘要

核心思路是：捕获 → 过滤 → 格式化 → 统计。不需要写脚本也能快速出结果。

• 使用 -n 避免 DNS 反查，提升速度和一致性
• 使用 -q 减少协议细节，只保留关键字段（如 IP、端口、方向）
• 使用 -A 或 -X 提取载荷内容（适用于 HTTP、DNS 等明文协议）
• 结合 -c N 控制样本量，避免数据过载

例如，统计最近 1000 个包中访问最多的目标 IP：

sudo tcpdump -i eth0 -n -c 1000 | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -nr | head -10

输出示例：
127 192.168.1.100
89 10.0.5.22
43 8.8.8.8

---

按协议/端口维度生成分类汇总报表

利用 BPF 表达式精准筛选，再用管道加工：

• 查看所有 HTTP 请求（目标端口 80）的来源 IP 和 URL 路径（需 -A + 正则提取）：

  sudo tcpdump -i eth0 -n -A -c 500 port 80 2>/dev/null | grep -oE 'GET [^ ]+|Host: [^ ]+' | awk '/GET/{url=$2}/Host/{host=$2} /GET/ && host{print host url; host=""}'

• 统计 TCP 连接建立次数（SYN 包）：

  sudo tcpdump -i eth0 -n "tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack = 0" -c 200 | wc -l

• 汇总各协议占比（IP 层协议号）：

  sudo tcpdump -i eth0 -n -c 500 -t -v 2>/dev/null | grep "proto" | awk '{print $NF}' | sort | uniq -c

---

导出为可分析的结构化格式（CSV）

tcpdump 本身不输出 CSV，但可通过 -r 读取 pcap + tshark（Wireshark 命令行版）导出字段：

# 先保存抓包：sudo tcpdump -i eth0 -w traffic.pcap -c 5000
# 再用 tshark 提取时间、源IP、目的IP、协议、长度、信息摘要
tshark -r traffic.pcap -T fields \
  -e frame.time_epoch \
  -e ip.src \
  -e ip.dst \
  -e _ws.col.Protocol \
  -e frame.len \
  -e _ws.col.Info \
  -E separator=, -E quote=d > report.csv

这样生成的 CSV 可直接导入 Excel、Python（pandas）或 Grafana 做可视化分析。

---

定制化报表的关键控制点

• 时间粒度：用 date 或 tshark -o "gui.time_format:Date and Time" 控制时间显示格式
• 方向识别：src host X 和 dst host X 分开统计，能区分主动发起 vs 被动响应
• 会话聚合：单靠 tcpdump 不做会话还原；如需连接级统计（如“每个客户端建了多少 TCP 连接”），推荐用 tshark -z conv,tcp 或 ss/netstat 辅助
• 避免采样偏差：高流量场景下慎用默认快照长度（-s），建议 -s 0 抓全包，否则可能丢失关键字段（如 TLS SNI、HTTP Host）

不复杂但容易忽略