環境：VMware-Workstation-12-Pro，Windows-10，CentOS-6.9-x86_64，Xshell5

基本介紹

tcpdump是Linux自帶的抓包工具，可以詳細看到計算機通信中詳細報文內容，如果讀者熟悉另一款
強大的抓包工具wireshark，tcpdump相當於是wireshark的命令行版本。dump這個單詞有垃圾堆，
倒垃圾的意思，在計算機英語中的含義是轉存。

tcpdump官網：http://www.tcpdump.org/
This is the official web site of tcpdump, a powerful command-line packet analyzer;

查看本機tcpdump的版本

[root@as4k html]# tcpdump --version  
tcpdump version 4.1-PRE-CVS_2017_03_21  

tcpdump的最新版本
Version: 4.9.2
Release Date: September 3, 2017

官方文檔：http://www.tcpdump.org/manpages/tcpdump.1.html，此文檔無疑是全網最詳細，最權威
的教程，很多大牛的博客都有借鑒此文的內容。

這是什麽鬼

TCPDUMP(8)                                                          TCPDUMP(8)  

NAME  
       tcpdump - dump traffic on a network  

SYNOPSIS  
       tcpdump [ -AdDefIJKlLnNOpqRStuUvxX ] [ -B buffer_size ] [ -c count ]  
               [ -C file_size ] [ -G rotate_seconds ] [ -F file ]  
               [ -i interface ] [ -j tstamp_type ] [ -m module ] [ -M secret ]  
               [ -Q|-P in|out|inout ]  
               [ -r file ] [ -s snaplen ] [ -T type ] [ -w file ]  
               [ -W filecount ]  
               [ -E spi@ipaddr algo:secret,...  ]  
               [ -y datalinktype ] [ -z postrotate-command ] [ -Z user ]  
               [ expression ]  
 

上面是tcpdump，man page裏面的內容，oh my god！這麽多參數，本文當然不可能逐一介紹上面的內容，
我們先直接通過一些簡單的案例看看效果，然後給出一些常見參數的用法。

基礎案例

觀察DNS解析情況

我們知道，Linux系統要想正常訪問互聯網，需要正確配置DNS解析，現在我們已經配置了阿裏雲的DNS
223.6.6.6，我們想看一下DNS解析是否正常，就可以使用tcpdump來抓取DNS包，準備好兩個xshell
窗口，按照如下方式操作

步驟1 tcpdump -n -i any port 53

盡量在root用戶下使用tcpdump命令，-n表示不要把IP地址解析成域名，-i

步驟2 ping -c3 baidu.com
-c3表示和ping次停下，這時候我們的計算機和百度產生的通信，窗口1的tcpdump就會監聽到我們的通信
數據，也就是所謂的抓包，切換到窗口1，看到的數據大致如下

在上圖中我們可看到本地192.168.56.11，端口42711進程向阿裏雲DNS服務器223.6.6.6，請求告知
baidu.com的IP地址是什麽？阿裏雲的DNS服務器成功給了我們答復，由此可以說明，我們的DNS工作
正常。

如果抓取的DNS數據包，看起來向下面這樣：

從上圖可以看出，我們一共發起了三次DNS查詢請求，服務器才最終給我們返回了IP地址，這顯然是不太正常的，
由此我們可以判斷，這次網絡卡慢的原因，應該出在DNS解析上。

以上就是使用tcpdump抓包來簡單判斷網絡通信狀況。

抓取一個TCP包

首先我們知道TCP三次握手分別是：ACK，SYN-ACK，ACK。下面我們就在Linux中簡單搭建nginx服務器，
然後使用tcpdump抓取tcp包看下。

安裝nginx服務並啟動

yum install nginx -y  
/etc/init.d/nginx start  

然後在windows瀏覽器中輸入自己的IP地址，將會看到如下界面

在xshell中執行tcpdump -n -i eth0 port 80，eth0是我當前網卡的名稱，然後在瀏覽器中刷新一下，
可以看到抓取到了如下內容

可以看到，我們熟悉的ACK，SYN-ACK，ACK三次握手的信息都出現了，說明我們TCP連接成功建立了。

不要太過糾結於抓包細節，事實上tcp協議包含相當多的內容，無法在此展開

tcpdump中最常見的幾個參數

-i 指定要抓取數據包的網卡名稱

tcpdump -i eth0 # 抓取eth0網卡的數據包  

-c 指定抓取包的個數

tcpdump -i eth0 -c 10 # 只抓取10個包  

-w 把抓取到的數據存放到文件中供以後分析

# tcpdump -i eth0 -c 10 -w my-packets.pcap  
# file my-packets.pcap   
my-packets.pcap: tcpdump capture file ....  

可以看到，我們保存的my-packets.pcap是一種特殊文件，直接使用vim是無法查看的，可以把
該文件拿到windows下，使用wireshark查看，效果如下

-n 不解析ip，默認會將ip解析成域名
指定過濾端口(port)和主機名(host)

tcpdump -n -i eth0 port 80  
tcpdump -n -i eth0 host baidu.com  
tcpdump -n -i eth0 host baidu.com and port 80  

參考資料

官方權威教程
http://www.tcpdump.org/manpages/tcpdump.1.html

漫畫形式介紹tcpdump，非常有趣
https://jvns.ca/zines/#tcpdump

tcpdump-抓包工具-Linux