linux中过滤多播流量需用'dst net 224.0.0.0/4'匹配ipv4多播地址范围，结合igmp、udp等协议条件及接口适配，不可依赖不存在的“multicast”关键字。
Linux中用tcpdump过滤多播（组播）流量，关键在于识别IP层的多播地址范围（224.0.0.0/4，即224.0.0.0–239.255.255.255）并配合协议特征判断，不能只依赖“multicast”字面关键词——tcpdump本身没有multicast这个原生过滤关键字。
识别多播IP地址范围
所有IPv4多播数据包的目的IP地址都落在224.0.0.0/4网段（即224.0.0.0至239.255.255.255）。这是最直接、最可靠的过滤依据：
- 抓取所有发往多播地址的流量：sudo tcpdump -i eth0 'dst net 224.0.0.0/4'
- 只看源为本机、发往多播组的流量：sudo tcpdump -i eth0 'src host 192.168.1.100 and dst net 224.0.0.0/4'（请将IP换成你本机实际地址）
- 排除本地链路多播（如224.0.0.1/224.0.0.251等）仅关注全局多播（239.0.0.0/8）：sudo tcpdump -i eth0 'dst net 239.0.0.0/8'
结合IGMP协议抓取组播控制报文
主机加入/离开多播组时会发送IGMP报文（目的IP通常是224.0.0.22或224.0.0.1），这类控制流量对诊断组播异常至关重要：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 捕获所有IGMP报文：sudo tcpdump -i eth0 igmp
- 抓取发往本地多播路由器（224.0.0.2）的IGMP Join/Leave：sudo tcpdump -i eth0 'dst host 224.0.0.2 and igmp'
区分多播与广播、单播流量
避免误判：广播（255.255.255.255）和单播（普通A/B/C类地址）不属多播。可显式排除干扰：
- 只保留多播+排除广播：sudo tcpdump -i eth0 'dst net 224.0.0.0/4 and not dst host 255.255.255.255'
- 确认是UDP多播（常见于视频流、实时推送）：sudo tcpdump -i eth0 'udp and dst net 224.0.0.0/4'
- 过滤特定多播组（如常用NTP多播地址224.0.1.1）：sudo tcpdump -i eth0 'dst host 224.0.1.1'
注意接口与链路层适配
多播流量可能不经过默认接口（如走bond、bridge或容器veth），务必确认实际路径：
- 先查活跃接口：ip -br a | grep UP
- 若怀疑是桥接或Docker网络，尝试-i any（需root权限）：sudo tcpdump -i any 'dst net 224.0.0.0/4' -c 10
- 某些网卡驱动在混杂模式下才正确上报多播帧，可加-p对比是否影响捕获（但通常保持默认混杂模式更稳妥）
