必须限定协议为tcp且方向为目的端口才能精准捕获服务端口的请求包；例如用sudo tcpdump -i any -nn -v 'tcp and dst port 80'抓http请求，漏掉tcp或dst会导致混入udp流量或响应包。
要精准捕获发往某服务端口的TCP请求（比如HTTP访问、API调用），必须同时限定协议为TCP、方向为目的端口，否则会混入响应包或UDP干扰流量。
只抓目的端口的TCP请求包
第一步：确认目标端口和网卡。例如想抓所有发往本机80端口的HTTP请求，先用ip a或ifconfig查出活跃网卡名，常见为eth0、ens33或any（监听所有接口）。
第二步：执行过滤命令：sudo tcpdump -i any -nn -v 'tcp and dst port 80'。其中-nn禁用域名与端口名解析，-v增强输出细节，'tcp and dst port 80'确保只匹配TCP协议且目的端口为80的包。
这一步漏掉tcp限定会抓到UDP 80端口的DNS查询等无关流量；不加dst则port 80会同时匹配客户端从80端口发出的包（极罕见）和服务器回给客户端的80端口响应包——你真正要的只是“请求”，不是“响应”。
排除干扰的两种常用变体
方法一：限制抓包数量，避免刷屏。比如只看前10个请求：sudo tcpdump -i eth0 -nn -c 10 'tcp and dst port 443'。加-c 10后自动退出，适合快速验证规则是否生效。
方法二：保存为pcap文件供Wireshark分析：sudo tcpdump -i any -nn -w http-req.pcap 'tcp and dst port 80'。文件生成后可直接拖进Wireshark，用“http.request”显示过滤器进一步聚焦HTTP请求行。
注意：若在容器或云主机中抓包，any可能无法捕获宿主机转发的流量，此时应改用具体网卡名，如docker0或br-xxxx。
验证是否抓到真实请求
运行命令后，立即从另一台机器执行curl http://[本机IP]或浏览器访问，观察tcpdump输出中是否有SYN包（Flags [S]）和后续带有HTTP方法（GET/POST）的DATA包。
如果只看到大量ACK或RST但无SYN，说明流量未经过该网卡，或被防火墙DROP，或目标端口根本没监听——这时抓包本身没错，问题在链路或服务配置。
停止抓包按Ctrl+C即可。
