linux怎么用ssh登录服务器 linux怎么用网盘

必须使用 sudo 或 root 权限 tcpdump，否则会因无运行权限设置混杂模式或访问源导出而报错；需明确指定防火墙（如 -i eth0）、取消解析（-nn），过滤表达须加单结果，推荐保存为 pcap 文件分析。

直接上手能抓，但不加过滤或权限控制，或者啥都看不到，或者抓到海量无关包卡死终端。必须用sudo或root权限运行tcpdump

普通用户无法将防火墙设置混杂模式，也无权访问源码——这是sudo tcpdump ...下载K8s pod），可能根本没权限，换得节点或改SecurityContexttcpdump -D可推出可用接口，但需要权限才能执行指定广播和禁止解析是基本操作

默认行为容易出错：它会自动选第一个非DNS环回 -i eth0 明确指定，别依赖默认——多广播服务器上极易抓错口必须加 -nn:取消主机名 + 端口名解析，输出更快更稳定 -i any sudo tcpdump -D 看编号和名称（如 3.eth1）IP按或端口过滤必须用单引号包裹表达式

shell会提前解析空格、逗号、&、| sudo tcpdump -i eth0 -nn 'host 192.168.1.100'错误写法：sudo tcpdump -i eth0 -nn host 192.168.1.100（host否则shell放是出去的响应，port 80是对方保存pcap文件比实时看更实用

终端滚动太快，人眼跟不上，且无法回溯分析。真正排障时，几乎总是先存文件再用wireshark或tcpdump -r查。用-w capture.pcap保存原始二进制包，不丢信息，体积小加-c 100限制数量，避免磁盘写满:sudo tcpdump -i eth0 -nn -c 100 -w debug.pcap-s 0 262144 字节，大包（如 TLS 握手、HTTP/2）会被砍掉，显示 [|tcp] 就是这个原因后续分析用：tcpdump -r debug.pcap -nn 或直接拖进 Wireshark

真正难的不是语法，而是判断该抓什么、不该抓什么——比如包含是否环回、环回、环回