如何使用 tcpdump 和 Wireshark 分析网络流量？

本文是通过学习倪朋飞老师的《Linux性能优化实战》 ：怎么使用 tcpdump 和 Wireshark 分析网络流 量？

tcpdump 和 Wireshark 就是最常用的网络抓包和分析工具，更是分析网络性能必不可少的利器。

• tcpdump 仅支持命令行格式使用，常用在服务器中抓取和分析网络包。
• Wireshark 除了可以抓包外，还提供了强大的图形界面和汇总分析工具，在分析复杂的 网络情景时，尤为简单和实用。

因而，在实际分析网络性能时，先用 tcpdump 抓包，后用 Wireshark 分析，也是一种常用的方法。

安装 tcpdump、wireshark 工具，如：

yum install -y tcpdump wireshark

由于 Wireshark 的图形界面，并不能通过 SSH 使用，所以我推荐你在本地机器(比如 Windows)中安装。你可以到 https://www.wireshark.org/ 下载并安装 Wireshark。

tcpdump

tcpdump 也是最常用的一个网络分析工具。它基于 libpcap ，利用内核中的 AF_PACKET 套接字，抓取网络接口中传输的网络包;并提供了强大的过滤规则，帮你从 大量的网络包中，挑出最想关注的信息。

tcpdump，它的基本使用方法，还是比较简单的，也就是 tcpdump [选 项] [过滤表达式]。当然，选项和表达式的外面都加了中括号，表明它们都是可选的。

查看 tcpdump 的 手册 ，以及 pcap-filter 的手册，会发现，tcpdump 提供了大量的选项以及各式各样的过滤表达式。不过不要担心，我们只需要掌握一些常用选项和过滤表达 式，就可以满足大部分场景的需要了。</