要让tcpdump显示VLAN标签，必须同时满足两个条件：使用-e选项显示数据链路层头部，并在表达式中明确使用vlan关键字；仅-e或仅vlan均无法完整呈现VLAN信息。
要让 tcpdump 显示 VLAN 标签，关键不是“额外开启某个开关”，而是确保两个条件同时满足：使用 -e 选项显示数据链路层头，并在过滤表达式中明确写上 vlan 关键字。VLAN 信息存在于以太网帧的 802.1Q 头里，只有显示 MAC 层且匹配到带标签的帧，才能看到它。
必须加 -e 才能看到 VLAN 字段
默认情况下 tcpdump 不显示 MAC 地址和 VLAN tag。-e 强制输出链路层头，包括源/目的 MAC、以太类型（如 0x8100 表示 802.1Q）、以及后续的 VLAN ID 和优先级字段。
- 正确命令：tcpdump -i eth0 -e -nn vlan
- 错误示范：tcpdump -i eth0 -nn vlan（无 -e，VLAN ID 不会出现在输出里）
- 输出示例中你会看到类似：ethertype 802.1Q (0x8100), length 102: vlan 100, p 0
用 vlan 作为过滤条件才只抓带标签的包
仅仅加 -e 不够——它只是让输出包含 VLAN 信息，但依然会抓所有经过接口的帧（含不带标签的）。要在捕获阶段就只取 VLAN 流量，必须把 vlan 当作布尔过滤器使用：
- tcpdump -i eth0 -e -nn vlan → 抓所有带 802.1Q 标签的帧
- tcpdump -i eth0 -e -nn 'vlan 100' → 只抓 VLAN ID 为 100 的帧
- tcpdump -i eth0 -e -nn 'vlan and port 53' → 抓 VLAN 标签且目的端口是 53 的 DNS 流量
注意网卡 offload 和内核行为
某些网卡硬件会做 GRO（Generic Receive Offload），把多个小 VLAN 帧合并成一个大帧再交给内核。这时 tcpdump 看到的是合并后的包，VLAN tag 可能丢失或错位。
- 临时关闭 GRO：ethtool -K eth0 gro off
- 如果还涉及 TSO/LSO，一并关掉：ethtool -K eth0 tso off lso off
- 抓包后建议用 Wireshark 打开 pcap 文件验证：展开 Ethernet II → IEEE 802.1Q Virtual LAN → 查看 VLAN ID 是否准确
实用组合命令推荐
日常排查 VLAN 连通性问题时，这几个命令最常用：
- 实时查看所有 VLAN 流量（含 MAC 和 tag）：tcpdump -i eth0 -e -nn -v vlan
- 保存带 VLAN 的完整包供离线分析：tcpdump -i eth0 -e -nn -s0 -w vlan-debug.pcap vlan
- 只抓某 VLAN + 某 IP 的交互：tcpdump -i eth0 -e -nn 'vlan 200 and host 10.1.200.5'
