2、网络流量捕获基础：Libpcap原理、BPF过滤规则、使用tcpdump进行流量采集
做网关安全，第一件事是什么？
不是配置规则，不是写检测逻辑。是先把流量「看」清楚。
你连网络里在跑什么东西都不知道，谈什么入侵检测？我见过太多新手，上来就调Snort规则，结果抓包一看，连基础的三次握手都不完整。嗯，这章我们就从最底层开始，把流量捕获这件事彻底讲透。
2.1 Libpcap：网络抓包的基石
Libpcap（Packet Capture Library）是Unix/Linux平台下最核心的抓包库。说白了，它就是个中间层——把网卡、内核、应用程序串起来。
核心原理：Libpcap通过BPF（Berkeley Packet Filter）机制，在内核态完成数据包过滤，只把用户感兴趣的数据包拷贝到用户态。这比全量抓取再过滤高效得多。
它的工作流程，我总结为三步：
- 打开设备：调用
pcap_open_live()或pcap_open_offline()，绑定网卡或读取pcap文件。 - 设置过滤：通过
pcap_compile()+pcap_setfilter()把BPF规则注入内核。 - 循环捕获：用
pcap_loop()或pcap_dispatch()不断从内核缓冲区取包。
我曾经在某个项目中，遇到一个诡异的问题：抓包程序跑着跑着就丢包了。查了半天，发现是 pcap_set_buffer_size() 默认缓冲区太小，流量一上来就溢出。后来我把缓冲区调到2MB，问题解决。这个坑，你们迟早会遇到。
| 函数 | 作用 | 我在项目中踩过的坑 |
|---|---|---|
pcap_open_live() |
打开网络接口进行实时捕获 | promisc参数不设，抓不到非本机MAC的包 |
pcap_compile() |
将BPF文本规则编译为内核可执行的字节码 | 规则写错不报错，只是抓不到任何包 |
pcap_setfilter() |
将编译后的过滤器应用到抓包会话 | 必须在pcap_loop之前调用，顺序错了无效 |
pcap_loop() |
循环捕获数据包，每捕获一个调用回调函数 | 回调里别做耗时操作，否则缓冲区溢出丢包 |
2.2 BPF过滤规则：精准定位目标流量
BPF（Berkeley Packet Filter）是Libpcap的灵魂。没有它，你只能全量抓包——那在千兆甚至万兆链路上，基本等于自杀。
BPF规则的核心语法，其实就几个要素：
- 协议限定：
ip、tcp、udp、icmp、arp - 地址匹配：
host 192.168.1.1、src net 10.0.0.0/8、dst port 80 - 逻辑组合：
and、or、not - 高级过滤：
tcp[tcpflags] & tcp-syn != 0（只抓SYN包）
我的习惯：在写BPF规则时，永远先加一个 not arp。ARP包在局域网里太吵了，过滤掉能减少80%的噪音。
来看几个实战中高频使用的BPF表达式：
# 只抓HTTP流量（80端口）
tcp port 80
# 抓特定主机的双向流量
host 10.0.0.5
# 抓DNS查询和响应
udp port 53
# 抓SYN包（用于检测端口扫描）
tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack == 0
# 抓ICMP不可达（用于探测网络拓扑）
icmp[icmptype] == icmp-unreach为什么会强调这些？因为在实际的入侵检测场景中，你不可能把所有流量都存下来。我做过一个项目，客户要求检测内网横向移动。我当时的BPF规则是：tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn and not src host 10.0.0.1——只抓非网关发起的SYN包，精准定位扫描行为。
2.3 tcpdump实战：从入门到熟练
tcpdump是Libpcap最经典的前端工具。说实话，我到现在排查网络问题，第一反应还是tcpdump。它轻量、稳定、几乎每个Linux发行版都自带。
先看最常用的几个参数：
| 参数 | 作用 | 示例 |
|---|---|---|
-i |
指定网卡接口 | tcpdump -i eth0 |
-n |
不解析域名（加快速度） | tcpdump -n |
-X |
以十六进制和ASCII显示包内容 | tcpdump -X |
-w |
保存到pcap文件 | tcpdump -w capture.pcap |
-r |
读取pcap文件 | tcpdump -r capture.pcap |
-c |
抓取指定数量后退出 | tcpdump -c 100 |
-s |
设置抓取长度（默认65535字节） | tcpdump -s 0（抓完整包） |
下面是我在实际排查中常用的几个组合：
# 场景1：排查HTTP响应慢
tcpdump -i eth0 -n tcp port 80 -w http_debug.pcap
# 场景2：检测内网ARP欺骗
tcpdump -i eth0 -n arp
# 场景3：抓取特定主机的完整会话
tcpdump -i eth0 -n host 192.168.1.100 -s 0 -w session.pcap
# 场景4：实时查看TCP三次握手
tcpdump -i eth0 -n 'tcp[tcpflags] & (tcp-syn|tcp-ack) != 0'注意：在生产环境抓包时，-s 0 会抓取整个数据包（默认65535字节）。如果流量很大，建议设置 -s 128 只抓头部，否则磁盘很快会被写满。我曾经在半夜被运维电话叫醒，就是因为忘了限制 snaplen，导致 /var 分区被撑爆。
2.4 知识体系总览
下面这张图，把本章的核心逻辑串起来了。你从网卡看到的数据，经过Libpcap、BPF、tcpdump三层处理，最终变成你能分析的流量信息。
2.5 实战避坑指南
最后，分享几个我这些年积累的经验。你想想看，抓包这件事看起来简单，但真到了生产环境，坑一个接一个。
- 缓冲区溢出：默认缓冲区只有1MB，高流量下必丢包。我习惯用
-B 2048把缓冲区设到2MB。 - 时间戳精度：tcpdump默认用微秒级时间戳。如果需要纳秒级精度，加
-tttt参数。 - 大文件切割：用
-C 100参数，每个pcap文件100MB自动切割，避免单个文件过大。 - 后台运行：用
nohup tcpdump ... &或screen启动，防止SSH断开导致抓包中断。
我的建议：在写BPF规则时，先用 tcpdump -d 查看编译后的字节码。如果字节码超过20行，说明规则太复杂，会影响抓包性能。这时候就该考虑拆分成多个规则了。
嗯，这一章的内容就到这里。Libpcap、BPF、tcpdump这三样东西，是网关安全从业者的基本功。你把这些吃透了，后面讲入侵检测规则、流量特征提取，才能真的理解底层在发生什么。