TCPDump可以将网络中传送的数据包完全截获下来提供分析，有助于判断网络故障所在
语法
[root@liukai ~]# tcpdump [-AennqX] [-i] [- w ] [-c] [-r ] 选项与参数
-A 数据包的内容以ASCII显示，通常用来抓取www的网页数据包数据
-e 输出的每行中都将包括数据链路层头部信息，例如源MAC和目标MAC。
-n 对地址以数字方式显式，否则显式为主机名，也就是说-n选项不做主机名解析。
-nn 除了-n的作用外，还把端口显示为数值，否则显示端口服务名。
-q 快速打印输出。即打印很少的协议相关信息，从而输出行都比较简短。
-X 输出包的头部数据，会以16进制和ASCII两种方式同时输出。
-XX 输出包的头部数据，会以16进制和ASCII两种方式同时输出，更详细。
-i 后面接监听的端口，如eth0、ens33等
-w 将监听所得的数据包数据存储下来，后面接文件名。
-r 从后面接的文件将数据包数据读出来，这个文件是已经存在的文件。并且是由-w制作出来的
案例
tcpdump -i eth0 -nn //以ip与端口号获取eth0网卡上的数据包
tcpdump -i eth0 -nn port 22 //仅获取端口22的数据包以下案例转自简书天天向上_ac78
tcpdump示例
==tcpdump只能抓取流经本机的数据包 ==
默认启动
tcpdump 默认情况下，直接启动tcpdump将监视第一个网络接口(非lo口)上所有流通的数据包。这样抓取的结果会非常多，滚动非常快。. 监视指定网络接口的数据包
tcpdump -i ens33监视指定主机的数据包，例如所有进入或离开node1的数据包
tcpdump -i ens33 host node1打印node1<-->node2或node1<-->node3之间通信的数据包
tcpdump -i ens33 host node1 and \(node2 or node3\)打印node1与任何其他主机之间通信的IP数据包,但不包括与node4之间的数据包
tcpdump -i ens33 host node1 and not node4截获主机node1 发送的所有数据
tcpdump -i ens33 src host node1监视所有发送到主机node1 的数据包
tcpdump -i ens33 dst host node1监视指定主机和端口的数据包
tcpdump -i ens33 port 8080 and host node1监视指定网络的数据包，如本机与192.168网段通信的数据包，"-c 10"表示只抓取10个包
tcpdump -i ens33 -c 10 net 192.168打印所有通过网关snup的ftp数据包
tcpdump 'gateway snup and (port ftp or ftp-data)'注意,表达式被单引号括起来了,这可以防止shell对其中的括号进行错误解析
抓取ping包
tcpdump -c 5 -nn -i ens33==指定主机抓ping包==
tcpdump -c 5 -nn -i eth0 icmp and src 192.168.100.62抓取到本机22端口包
tcpdump -c 10 -nn -i ens33 tcp dst port 22解析包数据
tcpdump -c 2 -q -XX -vvv -nn -i ens33 tcp dst port 22