tcpdump 不能直接按域名过滤，因其工作在网络层和传输层，host 关键字仅匹配解析后的 ip 地址，无法识别应用层域名；可行方案包括：dns 阶段用 udp port 53 + grep 域名、http 明文用 -a + grep host 头、https 加密流量需抓包后用 wireshark 查 sni 字段。
tcpdump 本身不能直接按域名（如 example.com）过滤流量，因为它工作在 OSI 模型的网络层和传输层，而域名解析发生在应用层，且只出现在 DNS 查询或 HTTP/HTTPS 的 Host 头、SNI 扩展中——这些内容不在 tcpdump 默认过滤语法支持范围内。
为什么不能直接写 “host example.com”？
tcpdump 的 host 关键字匹配的是 IP 地址，不是域名。即使你写 tcpdump host example.com，它也会先尝试用系统 DNS 解析该域名，然后替换成对应 IP 再过滤——这只能捕获与该 IP 通信的流量，且无法区分同一 IP 上多个域名的请求（比如虚拟主机场景）。
实际可行的替代方案
要定位某域名产生的流量，需结合其协议特征和已知信息，分情况处理：
-
DNS 查询阶段：抓取发往 DNS 服务器、查询该域名的 UDP/TCP 包
例如：抓本机向 8.8.8.8 发起的对api.example.com的 DNS 查询：sudo tcpdump -i any -n 'udp port 53 and (ip src host 8.8.8.8 or ip dst host 8.8.8.8)' -A | grep -i "api\.example\.com" -
HTTP 流量（明文）：用
-A输出 ASCII 内容，再配合grep提取 Host 头
例如：抓端口 80 流量并实时过滤含域名的请求行或 Host 行：sudo tcpdump -i any -n -A -s 0 'tcp port 80' | grep -i "Host:.*example\.com\|GET.*example\.com" -
HTTPS 流量（加密）：无法看到 URL 或 Host 头（但可看到 SNI 域名，需额外解析）
可用tcpdump -i any -n -s 0 'tcp port 443' -w ssl.pcap抓包后，用 Wireshark 打开 → 查看 TLS 握手包的 Client Hello → 展开 TLS → Extension → Server Name Indication（SNI）字段，即可看到客户端试图访问的域名 -
先查 IP，再抓包：如果域名解析结果固定，可先
dig +short example.com或nslookup example.com获取 IP，再用host xxx.xxx.xxx.xxx过滤
注意：CDN、负载均衡或动态 IP 场景下该方法可能漏包
小技巧提升效率
添加关键选项避免干扰：
-
-n：禁用 DNS 反解，防止命令卡顿 -
-s 0：捕获完整数据包，确保 HTTP 头或 TLS 扩展不被截断 -
-w file.pcap：保存为 pcap 文件，便于后续用 Wireshark 深度分析 SNI、HTTP/2 伪头等 -
port 53 or port 80 or port 443：缩小范围，聚焦常见 Web 相关端口
