tcpdump 启动时自动启用混杂模式，退出时通常自动关闭，但非绝对保障；实际行为受系统版本、权限、接口状态及调用方式影响，强制终止或特定环境可能导致残留，建议显式管理。
tcpdump 本身不“管理”混杂模式，而是触发和依赖它——启动抓包时自动启用，退出时通常自动关闭。但这个行为不是绝对的，实际效果取决于系统版本、权限、接口状态和调用方式。
tcpdump 启动时自动启用混杂模式
当你运行 sudo tcpdump -i eth0，tcpdump 会通过 libpcap 库向内核发起请求，将 eth0 接口设为混杂模式（前提是当前用户有足够权限）。此时无需手动执行 ifconfig 或 ip link 命令，tcpdump 内部已封装该逻辑。
- 成功启用后，可通过 ip link show eth0 查看输出中是否含 PROMISC 标志
- 若接口原本已处于 up 状态且无冲突配置，启用通常顺利；若接口被禁用（如 ifconfig eth0 down），tcpdump 会报错并退出
- 部分老旧系统或容器环境可能因内核限制或命名空间隔离，导致自动启用失败，需提前手动设置
tcpdump 退出时是否自动关闭混杂模式？
大多数情况下，tcpdump 在正常退出（Ctrl+C 或捕获结束）后会尝试恢复接口原状——即清除 PROMISC 标志。但这不是强制保证的行为：
- 进程被 kill -9 强制终止时，混杂模式大概率残留，需手动清理
- 某些内核版本或发行版（如部分 Alpine 或嵌入式 Linux）对 libpcap 清理逻辑支持不完整
- 若 tcpdump 运行期间接口被其他程序修改（如 NetworkManager 重载配置），状态可能意外保留
手动控制混杂模式更可靠
为避免状态残留或调试需要，建议显式管理：
- 启用：sudo ip link set dev eth0 promisc on 或 sudo ifconfig eth0 promisc
- 禁用：sudo ip link set dev eth0 promisc off 或 sudo ifconfig eth0 -promisc
- 验证：ip link show eth0 | grep -o "PROMISC" —— 有输出表示已启用，无输出则未启用
权限与安全注意事项
混杂模式需要 root 权限，普通用户无法启用。这也是 tcpdump 必须加 sudo 的根本原因：
- 非 root 用户执行 tcpdump 会提示 “device not configured” 或 “permission denied”
- 开启混杂模式后，网卡可接收所有二层帧，包括其他主机的流量，存在隐私与合规风险
- 生产环境应严格控制使用时段，抓包完成后立即确认并关闭混杂模式
