在 linux 中用 tcpdump 排除指定 ip 流量需用 'not host ip' 表达式并加引号包裹；可组合 and/or 排除多 ip 或网段，注意语法规范与逻辑优先级。
想在 Linux 中用 tcpdump 抓包时排除指定 IP 的流量，关键在于用 not host 过滤表达式，并确保语法正确、引号包裹完整。
排除单个 IP 地址
最常用也最直接的方式是使用 not host，它会过滤掉所有与该 IP 的双向通信（即源或目的为该 IP 的包都会被跳过）：
- 排除 192.168.1.100 的所有流量：sudo tcpdump -i eth0 'not host 192.168.1.100'
- 如果只想排除该 IP 作为源地址的流量，用：src not host 192.168.1.100
- 只排除它作为目的地址的流量，用：dst not host 192.168.1.100
排除多个 IP 或网段
用 and 或 or 组合多个 not host 条件，注意括号和逻辑优先级：
- 同时排除两个 IP：sudo tcpdump -i eth0 'not host 192.168.1.100 and not host 10.0.0.5'
- 排除整个网段（如 172.16.0.0/16）：sudo tcpdump -i eth0 'not net 172.16.0.0/16'
- 排除某 IP 但保留其某个端口（如只放行它的 SSH）：sudo tcpdump -i eth0 'not host 192.168.1.100 or (host 192.168.1.100 and port 22)'
常见错误和避坑点
很多“看似排除了却仍有流量”问题，其实源于语法细节：
- 引号必须包裹整个过滤表达式，否则 shell 会提前解析 not、and 等关键字
- host 是关键字，不能写成 HOST 或漏掉
- 写成 host 192.168.1.100 and not port 80 是合法的，但 host 192.168.1.100 not port 80 会报错——not 前必须有连接词（如 and）
- 若目标 IP 是本机（比如抓 lo 接口），需确认接口名是否匹配，避免因接口选错导致过滤失效
配合其他条件提升精准度
单独排除 IP 往往不够，建议叠加协议、端口等限制，减少冗余数据：
- 排除监控服务器（10.0.2.15）的 HTTP 和 DNS 流量：sudo tcpdump -i eth0 'not host 10.0.2.15 and not port 80 and not port 53'
- 只看 TCP 流量并排除管理网段：sudo tcpdump -i eth0 'tcp and not net 192.168.100.0/24'
- 保存结果到文件便于后续分析：sudo tcpdump -i eth0 -w clean.pcap 'not host 192.168.5.200'
