tcpdump 无法按进程（pid）过滤数据包，因其工作在内核网络层且 libpcap 未暴露 pid 字段；其过滤语法仅支持链路层、ip 层和传输层字段，不包含进程信息。
tcpdump 本身无法直接按进程（PID）过滤数据包，因为它工作在内核网络协议栈层面，不感知用户态进程上下文。Linux 内核没有向 libpcap/tcpcap 暴露“某个包属于哪个 PID”的字段，所以 纯 tcpdump 命令做不到按进程抓包。
为什么不能直接用 tcpdump -p PID？
这是常见误解。tcpdump 的过滤语法中没有 pid、process 或类似关键字；它的过滤器只作用于链路层、IP 层、传输层（端口/协议/地址）等网络字段，不包含进程信息。
实际可行的替代方案
要定位某进程发出或接收的网络流量，需结合其他工具间接实现：
-
先查进程的端口和连接信息：用
ss -tulnp或netstat -tulnp查出该进程监听或已建立连接的 IP 和端口（注意需 root 权限才能看到 PID） -
再用 tcpdump 按端口/地址过滤：例如进程占用了 8080 端口，则运行：
tcpdump -i any port 8080
若只想看它与特定服务器通信：tcpdump -i any port 8080 and host 192.168.1.50 -
配合 conntrack 或 auditd 进行关联（进阶）：对于短连接或动态端口场景，可启用
conntrack -E实时跟踪连接创建事件，并通过时间戳与 tcpdump 日志对齐；或使用auditctl监控进程的 socket()、connect() 系统调用
更推荐的一体化方法：使用 ss + tcpdump 组合
写个简单脚本快速获取目标进程的通信特征：
# 示例：查 PID 1234 的所有网络连接
$ ss -tunp | grep ':1234$'
tcp ESTAB 0 0 192.168.1.10:54322 10.0.2.3:443 users:(("curl",pid=1234,fd=3))
# 得到源端口 54322 → 抓这个端口的双向流
$ tcpdump -i any 'port 54322'
