什么是数据包捕获命令行工具
在排查网络问题、分析服务延迟或检查安全异常时，直接查看网络中传输的数据包往往是最有效的手段之一。数据包捕获命令行工具就是让你在终端里“监听”网络流量的利器，不需要图形界面，轻量又高效。
这类工具广泛用于运维、开发和网络安全领域。比如你发现某个API请求总超时，但服务本身没报错，这时候抓个包，可能一眼就能看出是DNS解析慢还是对方响应卡住了。
最经典的：tcpdump
说到命令行抓包，绕不开 tcpdump。它几乎存在于每一台Linux服务器上，使用简单，功能强大。
最基本的用法是监听某个网卡上的所有流量：
sudo tcpdump -i eth0如果你只想看某个IP的通信，可以加过滤条件：
sudo tcpdump host 192.168.1.100只抓HTTP流量？可以用端口过滤：
sudo tcpdump port 80想把数据包保存下来后续分析，加上 -w 参数：
sudo tcpdump port 80 -w http_traffic.pcap之后可以用Wireshark打开这个pcap文件，做更细致的分析。
进阶技巧：组合过滤条件
tcpdump 支持逻辑表达式，比如你想抓来自某IP且目标端口为443的包：
sudo tcpdump src 192.168.1.100 and dst port 443或者排除某些流量，比如不抓DNS（端口53）：
sudo tcpdump not port 53现代替代品：tshark
tshark 是 Wireshark 的命令行版本，功能更强大，支持更多协议解析，适合已经安装了Wireshark环境的用户。
基本用法类似：
tshark -i eth0抓指定数量的包后自动停止：
tshark -i eth0 -c 10按HTTP协议过滤：
tshark -f "port 80"它的好处是输出结构更清晰，也支持导出为JSON格式，方便后续处理：
tshark -r http_traffic.pcap -T json > output.json轻量级选择：dumpcap
如果你只需要纯粹地抓包，不关心实时分析，dumpcap 是更轻量的选择，同样是Wireshark套件的一部分。
它专注于高效写入，适合长时间运行：
dumpcap -i eth0 -w capture.pcap -b size=100上面的命令表示每100MB自动分割一个文件，适合监控场景。
实际应用场景举例
假设你在公司内网部署了一个新服务，客户端总是连接失败。你可以登录服务器，用一行命令快速确认问题：
sudo tcpdump -i any host 10.0.2.55 and port 8080然后让同事再试一次操作。如果没看到任何数据包进来，问题大概率出在网络路由或防火墙；如果看到SYN但没有回复，可能是服务没监听正确。
又比如家里路由器莫名其妙断流，你可以在树莓派上跑一个定时抓包任务，记录下断流前后几分钟的流量，回头逐帧查看是否有异常广播包或ARP欺骗。
权限与注意事项
抓包需要系统级权限，通常要加 sudo。另外，过度频繁地抓包可能影响系统性能，尤其是高流量环境。
敏感信息如密码、令牌可能出现在明文传输的包中，保存pcap文件时要注意权限管理，避免泄露。
在生产环境中建议限定抓包时间或数量，避免磁盘被占满。