tcpdump按端口过滤需明确方向、协议与逻辑关系：用'dst port 80'抓http请求，'src port 22'抓ssh响应，'host x.x.x.x and port 443'确保且关系，必须加单引号和括号，配合-n、-s 0、-c等参数提升准确性。
直接用 tcpdump 的 port 关键字就能按端口过滤，但要注意方向、协议和逻辑组合，否则容易抓到大量无关包。
基础端口过滤：明确源或目的方向
默认 port 80 匹配源端口或目的端口任一为 80 的包，实际调试中常需限定方向：
- 只抓发往 Web 服务器的请求（目的端口 80）：
tcpdump -i eth0 'dst port 80' - 只抓 SSH 响应流量（源端口 22）：
tcpdump -i eth0 'src port 22' - 抓某段端口范围（如 Kubernetes NodePort）：
tcpdump -i eth0 'portrange 30000-32767' - 排除干扰端口（如跳过 DNS）：
tcpdump -i eth0 'port 80 and not port 53'
组合 IP 和端口：避免“或”逻辑陷阱
写成 host 192.168.1.100 port 443 是常见错误——它等价于 (host ...) or (port ...)，结果会混入大量非目标流量。
- 正确写法（且关系）：
tcpdump -i eth0 'host 192.168.1.100 and port 443' - 进一步限定协议和方向：
tcpdump -i eth0 'tcp and host 10.0.2.15 and dst port 3306' - 排除多个服务端口：
tcpdump -i eth0 'tcp and host 192.168.1.5 and not (port 22 or port 80 or port 443)'
注意：所有过滤表达式必须用单引号包裹；and/or/not 有固定优先级，括号不能省略。
提升实用性：加参数防误判
仅靠端口过滤还不够，几个关键选项能显著提高排查效率：
-
-n：禁用 DNS 解析，避免延迟并确保显示真实 IP -
-nn：同时禁用端口名解析（如不把 443 显示为 https） -
-s 0：捕获完整数据包（防止 payload 截断，确认 HTTP 路径或 API 参数时必需） -
-w file.pcap：保存为 pcap 文件，后续用 Wireshark 深度分析 -
-c N：限制抓包数量，避免阻塞终端（如-c 50）
验证与替代：快速确认是否生效
抓包前先确认网卡名和端口状态：
- 查网卡：
ip -br a | grep UP - 查端口监听：
ss -tlnp | grep ':80\|:443' - 简单测试：
curl -I http://localhost后立即运行抓包命令，看是否捕获到 SYN 或 HTTP 请求行
如果需要图形化分析，可配合 Wireshark 使用显示过滤器：tcp.port == 8080 或 ip.addr == 192.168.1.100 && tcp.port == 443。
