抓包分析基础：抓包原理、常见工具与过滤规则

各位好，欢迎来到第二章。上一章我们聊了吞吐测试的基本概念，今天咱们把目光转向网络分析的另一项核心技能——抓包。

说实话，我刚开始做网络运维那会儿，觉得抓包是件特别神秘的事。看着屏幕上密密麻麻的十六进制数据，完全不知道从哪下手。后来被一个老工程师带着，在机房蹲了一下午，他指着屏幕说：“你看，这就是TCP三次握手，SYN、SYN-ACK、ACK，一个包都不会少。”那一刻我才真正理解——抓包不是玄学，是基本功。

抓包原理：数据包是怎么被“截获”的？

先问一个问题：网卡平时在干什么？

正常情况下，网卡只接收发给自己的数据包。它通过检查目标MAC地址来判断——是自己的就收下，不是的就扔掉。这叫非混杂模式。

但抓包工具不一样。它会告诉网卡：“别挑了，所有经过的包都给我收上来。”这就是混杂模式（Promiscuous Mode）。说白了，就是把网卡变成一个“偷听者”。

我在项目中遇到过一个问题：某台服务器上的tcpdump明明在跑，但就是抓不到某些流量。排查了半天，发现是虚拟化环境下的网卡没有正确开启混杂模式。嗯，这个坑我踩过，你们记住就好。

抓包的完整流程大致是这样的：

1. 数据包到达网卡——物理层信号转为数字帧
2. 网卡判断模式——混杂模式下，所有帧都被接收
3. BPF（Berkeley Packet Filter）过滤——在内核层面先筛一遍，只保留你感兴趣的包
4. 数据包复制到用户空间——通过libpcap库传递给抓包工具
5. 工具解析与展示——tcpdump显示文本，Wireshark显示图形界面

你想想看，如果没有BPF这一步，所有原始数据包都往用户空间扔，CPU早就被撑爆了。所以过滤规则写得好不好，直接决定了抓包效率。

常见抓包工具：tcpdump vs Wireshark

说到工具，业界最常用的就是两个：tcpdump 和 Wireshark。它们底层都依赖libpcap库，但使用场景完全不同。

对比维度	tcpdump	Wireshark
界面	命令行	图形化GUI
适用场景	服务器远程、无图形环境、脚本自动化	本地分析、深度协议解析、交互式排查
资源占用	极低	较高（尤其大文件）
协议解析	基础（可配合-W参数保存pcap）	丰富（支持3000+协议）
过滤语法	BPF原始语法	BPF + 显示过滤表达式
学习曲线	陡峭	平缓

tcpdump：服务器上的瑞士军刀

我个人习惯，但凡排查线上问题，第一件事就是ssh到服务器上跑tcpdump。为什么？因为Wireshark在服务器上跑不起来，而且tcpdump足够轻量。

几个最常用的tcpdump命令：

# 抓取eth0接口的所有流量
tcpdump -i eth0

# 抓取指定主机的流量（host）
tcpdump -i eth0 host 192.168.1.100

# 抓取特定端口
tcpdump -i eth0 port 80

# 抓取并保存为pcap文件（方便后续用Wireshark分析）
tcpdump -i eth0 -w capture.pcap

# 读取pcap文件
tcpdump -r capture.pcap

# 组合条件：源IP+目标端口
tcpdump -i eth0 src 10.0.0.1 and dst port 443

Wireshark：图形化的协议解码器

Wireshark是我做深度分析时的首选。它能把一个HTTP请求的TCP流完整还原出来，甚至能帮你画出时序图。说实话，没有Wireshark，很多协议细节我到现在都搞不清楚。

Wireshark的核心能力：

• 协议解码树——点开一个包，从以太帧头到应用层数据，层层展开
• TCP流追踪——右键 → Follow TCP Stream，直接看到完整会话内容
• 统计工具——IO Graph、Conversations、Endpoints，快速定位流量异常
• 着色规则——不同协议显示不同颜色，一眼看出问题

我记得有一次排查一个HTTP接口超时问题，用tcpdump抓了包，看了半天没头绪。后来把pcap文件拖到Wireshark里，打开TCP流追踪，发现客户端发了请求后，服务器过了3秒才回SYN-ACK——原来是服务器端 backlog 队列满了。这种问题，光看十六进制是看不出来的。

抓包过滤规则：BPF语法详解

过滤规则是抓包的核心。你想想看，一个千兆网口上每秒可能经过几十万个包，如果不加过滤，抓下来的文件几分钟就能撑爆硬盘。

BPF（Berkeley Packet Filter）语法是tcpdump和Wireshark共用的底层过滤语言。它由三部分组成：类型（Type）、方向（Dir）、协议（Proto）。

类别	关键字	示例	说明
类型	host / net / port	host 10.0.0.1	匹配主机、网段或端口
方向	src / dst	src net 192.168.1.0/24	指定源或目标
协议	tcp / udp / icmp / arp	icmp	只抓特定协议

组合规则用 and、or、not 连接：

# 抓取来自192.168.1.100的HTTP流量
tcpdump -i eth0 src 192.168.1.100 and port 80

# 抓取除了SSH之外的所有TCP流量
tcpdump -i eth0 tcp and not port 22

# 抓取DNS查询（UDP 53端口）
tcpdump -i eth0 udp port 53

# 抓取特定TCP标志位（SYN包）
tcpdump -i eth0 'tcp[13] & 2 != 0'

Wireshark除了支持BPF捕获过滤，还有一套自己的显示过滤语法。显示过滤是在已经抓到的数据包中做二次筛选，语法更灵活：

# 显示HTTP请求
http.request

# 显示TCP流中带有"retransmission"标记的包
tcp.analysis.retransmission

# 显示IP为10.0.0.1且端口为443的流量
ip.addr == 10.0.0.1 and tcp.port == 443

# 显示特定TCP流（stream index）
tcp.stream eq 0

我曾经在一次性能测试中，用Wireshark的 tcp.analysis.retransmission 显示过滤，几秒钟就定位到了是哪台服务器在疯狂重传。如果没有这个过滤规则，你得在几万个包里一个一个翻，那效率……嗯，你懂的。

实战建议：抓包的最佳实践

最后，分享几条我这些年总结出来的抓包经验：

• 先过滤，再抓包——不要想着“先全抓下来再说”，文件太大反而没法分析
• 抓包时长控制——线上环境建议每次抓30-60秒，循环抓取，避免单文件过大
• 保存为pcap格式——tcpdump用 -w 参数保存，方便后续用Wireshark打开
• 注意时间同步——多台服务器同时抓包时，确保NTP同步，否则时间戳对不上
• 别在生产环境长时间抓包——磁盘I/O和CPU开销虽然小，但也不是零