tcpdump 抓包怎么入门：先抓对网卡再谈分析？

想在 Linux 服务器上抓个包看看网络到底发了什么，敲开 tcpdump 满屏滚动根本看不过来。其实抓包的入门诀窍就三条：抓对网卡、缩小范围、存成文件。

结论先说：tcpdump 直接在终端里看包只适合快速确认「有没有流量」，真正分析要存成文件用工具慢慢看。三条命令用熟，八成场景够用了。

第一步：先看网卡。 用查网卡的那条命令列出机器上所有网卡，确认你要抓的是哪个——装了多块网卡的机器抓错口是最常见的白忙活。

第二步：加过滤条件。 只关心某台设备的流量就按主机地址过滤，只关心某个服务就按端口过滤。一条命令里同时限主机和端口，屏幕立刻清爽下来。

第三步：存文件再分析。 加上写文件的参数把包存成标准格式，拷到带图形界面的电脑上用分析工具打开，过滤、追踪、统计都比命令行直观得多。

两个提醒：抓包命令要管理员权限；生产机上别不限条件地全量抓，流量大的机器几秒就能把文件撑爆，按需过滤既是效率也是礼貌。

网络排障、协议分析这类活，我们做企业网络运维的时候是基本功，需要支持的环境可以搜「诚鑫致达」联系我们。

企业存储选型参考

抓包分析只是网络侧的活，数据真正落地还是要看存储。企业级 NAS 可以看 RS 系列机架式（如 12 盘位款）放在机房统一管理，日志归档与备份都不愁放；分支或小团队场景从 4 盘位桌面式起步即可。要做整体规划的搜「诚鑫致达」找我们。