3. TLS 流量捕获方法：tcpdump、tshark、Wireshark

说实话，做 TLS 流量分析，第一步就是能不能把数据包完整地抓到手里。工具倒是不少，但真正用得顺的，也就那三样：tcpdump、tshark、Wireshark。名字你可能都听过，但它们的定位、适用场景，以及各自容易踩的坑，还是要好好捋一捋。

我自己刚入行那会儿，以为随便抓个包就能分析。结果呢？要么丢了关键握手包，要么抓出来全是乱码。后来才明白，不同的阶段、不同的环境，工具的用法差别很大。

3.1 tcpdump —— 命令行下的老司机

tcpdump 是我在服务器上最常用的工具。它轻量、不依赖图形化，几乎每个 Linux 发行版都自带。你想想看，生产环境中你没法装 Wireshark，但 tcpdump 几乎总是可用的。

核心用法很简单：

# 抓取所有进出 eth0 的包，保存到文件
tcpdump -i eth0 -w capture.pcap

# 过滤出 443 端口的 TLS 流量
tcpdump -i eth0 port 443 -w tls_traffic.pcap

但是，有几个细节你得注意。第一，-s 0 默认抓取完整包，但在高并发环境下，建议设个合适的 snaplen，比如 -s 256，只抓包头部。我遇到过抓 1GB 的 pcap 文件，结果分析时发现全是 HTTP header，TLS 记录根本没抓到——就是因为 snaplen 设太小，记录层 payload 被截断了。

第二，tcpdump 默认不会解析 TLS 记录，它只输出 “IP 地址:端口” 和 数据长度。想看具体握手内容？得用 -X 或 -A 打印 hexdump。但说实话，那个输出给人类看非常痛苦。所以 tcpdump 更适合做采集层，而不是分析层。

3.2 tshark —— Wireshark 的命令行兄弟

tshark 是和 Wireshark 共享解析引擎的命令行工具。它能做的事情比 tcpdump 多得多：可以按 TLS 字段过滤、提取 SSL/TLS 握手摘要、甚至是解密后的数据。

# 实时显示 TLS 握手信息
tshark -r capture.pcap -Y "tls.handshake" -T fields -e tls.handshake.type

# 提取所有 TLS 版本信息
tshark -r capture.pcap -Y "tls" -T fields -e tls.handshake.version

我特别推荐在自动化场景下用 tshark。比如你每天要扫描几百个 pcap 文件，找出哪些 ServerHello 用了 TLS 1.0，用管道加 awk 一跑，几分钟出报表。记得有一次，客户说他们的服务只支持 TLS 1.2，但我用 tshark 统计了一下，竟然有 15% 的会话协商到了 TLS 1.0——就是因为某些老旧客户端强制降级。这个坑，用 tcpdump 你翻都翻不出来。

3.3 Wireshark —— 图形化的终极武器

Wireshark 是我做首轮分析时的首选。你想想看，左右分栏的结构，上面是包列表，中间是协议树，下面是 hexdump，对 TLS 这种复杂协议的解析非常直观。

Wireshark 对 TLS 的支持极其详细：从 Cipher Suite 到扩展字段，从证书链到 Session Ticket。我最常用的功能是 “Follow TLS Stream”，能把一次完整的握手过程按时间线展开，方便查看每一步的上下文。

# 用 tshark 命令行也可以实现类似效果，但 Wireshark 的交互式过滤才是其精髓
# 过滤条件举例：
tls.handshake.type == 1  # ClientHello
tls.handshake.type == 2  # ServerHello
tls.handshake.cipher_suite contains 0x1301  # TLS_AES_128_GCM_SHA256

还有一个很多人忽略的点：Wireshark 可以导入 SSLKEYLOGFILE 实现 TLS 解密。我经常在测试环境里设置 SSLKEYLOGFILE 环境变量，然后在 Wireshark 中指定 Key Log 文件，就能看到加密后的 HTTP/2 明文。这个组合在调试 HTTPS 性能问题时简直救命。

3.4 三者对比速览

嗯，这张表基本概括了。但我想说的是，实际工作中这三个工具不是相互替代的关系。我经常这样组合：tcpdump 抓包 → tshark 批量过滤 → Wireshark 定点深扒。各取所长。

3.5 本章知识体系

这张图概括了我对这一章的理解：三个工具各有侧重，但最终都服务于同一个目标——让我们能看清 TLS 握手的每一个细节。曾经有一次，我用 tcpdump 在公网服务器抓了 2 小时流量，回到本地用 tshark 过滤出所有 TLS 1.0 的记录，然后导入 Wireshark 逐个确认——整个过程一气呵成。这就是工程中真正的效率。