tcpdump过滤表达式错误典型表现为无报错但抓包异常；需注意引号包裹、显式加括号明确逻辑优先级、用src/dst限定端口方向、以最小化表达式逐步验证。
tcpdump 过滤表达式写错，最典型的表现是：没报错、没提示，但抓不到预期的包，或者抓到一堆无关流量。问题不在网络本身，而在表达式逻辑或语法细节上。
检查引号是否完整包裹整个表达式
shell 会提前解析空格、括号、>、
- 错误写法：tcpdump -i ens33 host 192.168.1.100 and port 443（shell 把 and 当作命令分隔符）
- 正确写法：tcpdump -i ens33 'host 192.168.1.100 and port 443'（单引号强制整体传递）
- 双引号也可用，但需注意变量展开；稳妥起见统一用单引号
验证逻辑运算符优先级和括号使用
and/or/not 有固定优先级：not > and > or。不加括号容易误判逻辑关系，尤其 when 多条件组合时。
- 错误写法：tcpdump -i ens33 'host 192.168.1.100 or port 80 and port 443'（等价于 host ... or (port 80 and port 443)，永远为假）
- 正确写法：tcpdump -i ens33 '(host 192.168.1.100) and (port 80 or port 443)'
- 只要含 or 或 not，就显式加括号，避免依赖默认优先级
确认方向关键词是否准确匹配意图
port 默认匹配源或目的端口任一满足，常导致结果混杂。调试时应明确 src/dst，避免“看似抓了80，实则全是返回包”。
- 想看发往 Web 服务的请求 → 用 dst port 80
- 想看数据库响应 → 用 src port 3306
- 抓某 IP 的全部通信但排除 DNS → host 192.168.1.5 and not port 53（注意 not 作用范围）
用最小化表达式逐步验证
别一上来就写复杂条件。从最基础的开始，每加一个约束就验证一次输出是否合理。
- 先跑 tcpdump -i ens33 -c 5 看能否捕获任意包（确认网卡、权限、基础功能正常）
- 再加 'host 192.168.1.100'，确认该 IP 流量是否存在
- 接着加 'and tcp'，过滤协议
- 最后加 'and dst port 80'，锁定方向和端口
- 每步用 -c N 限制抓包数量，避免刷屏干扰判断
