Linux 网络分析必备技能

工作中遇到的很多网络问题都可以通过 tcpdump 优雅的解决：

1. 相信大多数同学都遇到过 SSH 连接服务器缓慢，通过 tcpdump 抓包，可以快速定位到具体原因，一般都是因为 DNS 解析速度太慢。

2. 当我们工程师与用户面对网络问题争执不下时，通过 tcpdump 抓包，可以快速定位故障原因，轻松甩锅，毫无压力。

3. 当我们新开发的网络程序，没有按照预期工作时，通过 tcpdump 收集相关数据包，从包层面分析具体原因，让问题迎刃而解。

4. 当我们的网络程序性能比较低时，通过 tcpdump 分析数据流特征，结合相关协议来进行网络参数优化，提高系统网络性能。

5. 当我们学习网络协议时，通过 tcpdump 抓包，分析协议格式，帮助我们更直观、有效、快速的学习网络协议。

上述只是简单罗列几种常见的应用场景，而 tcpdump 在网络诊断、网络优化、协议学习方面，确实是一款非常强大的网络工具，只要存在网络问题的地方，总能看到它的身影。

熟练的运用 tcpdump，可以帮助我们解决工作中各种网络问题，下边我们先简单学习下它的工作原理。

工作原理

tcpdump 是 Linux 系统中非常有用的网络工具，运行在用户态，本质上是通过调用 libpcap 库的各种 api 来实现数据包的抓取功能。图，我们可以很直观的看到，数据包到达网卡后，经过数据包过滤器(BPF)筛选后，拷贝至用户态的 tcpdump 程序，以供 tcpdump 工具进行后续的处理工作，输出或保存到 pcap 文件。

数据包过滤器(BPF)主要作用，就是根据用户输入的过滤规则，只将用户关心的数据包拷贝至 tcpdump，这样能够减少不必要的数据包拷贝，降低抓包带来的性能损耗。

思考：这里分享一个真实的面试题

面试官：如果某些数据包被 iptables 封禁，是否可以通过 tcpdump 抓到包?

通过上图，我们可以很轻易的回答此问题。

因为 Linux 系统中 netfilter 是工作在协议栈阶段的，tcpdump 的过滤器(BPF)工作位置在协议栈之前，所以当然是可以抓到包了!

我们理解了 tcpdump 基本原理之后，下边直接进入实战!

实战：基础用法

我们先通过几个简单的示例来介绍 tcpdump 基本用法。

1. 不加任何参数，默认情况下将抓取第一个非 lo 网卡上所有的数据包

（编辑：东莞站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!