本文将展示如何使用 tcpdump 抓包，以及如何用 tcpdump 和 wireshark 分析网络流量。文中的例子比较简单，适合作为入门参考。

为方便大家跟着上手练习，本文将搭建一个容器环境。

进入容器：

查看容器网络信息：

接下来我们用 wget 获取一个网站的首页文件（index.html），同时 tcpdump 抓包，对抓 到的网络流量进行分析。

example.com 是一个测试网站，wget 是一个 linux 命令行工 具，可以下载网络文件。

如下命令可以下载一个 example.com 网站的首页文件 index.html：

虽然这看起来极其简单，但背后却涵盖了很多复杂的过程，例如：

用下面的 tcpdump 命令抓包，另一窗口执行 wget http://example.com，能看到如下类 似的输出。为了方便后面的讨论，这里将一些字段去掉了，并做了适当的对齐：

参数说明：

更多 tcpdump 的常用命令，可以参考 tcpdump: An Incomplete Guide。

-w 命令可以将抓到的包写到文件，注意这和用重定向方式将输出写到文件是不同的。后者写的只是标准输出打印的 LOG，而 -w 写的是原始包。

生成的 pcap 文件可以用 tcpdump 或者 wireshark 之类的网络流量分析工具打开。

如果不指定输出的话，tcpdump 会直接将信息打到标准输出，就是我们上面看到的那样。从这些输出里，我们看到很多信息。

第 1 列是为了讨论方便而加的行号，实际的 tcpdump 输出并没有这一列。接下来将用 # 号加数字表示第几个包，例如 #3 表示第 3 个包。

接下来依次为：

wget 是基于 HTTP 协议，因此它在下载文件之前，必定要和服务端建立一个连接。

而 TCP 建立连接的过程就是著名的三次握手 [4]：

我们可以看到，这刚好对应于前三个包：

第一次握手: SYN

#1 包含以下信息：

第二次握手: SYN+ACK

#2 的 ack 是 3310420140，等于 #1 的 seq 加 1，这就说明，#2 是 #1 的应答包。

这个应答包的特点：

第三次握手: ACK

同理，#3 的 ack 等于 #2 的 seq 加 1，说明 #3 是 #2 的应答包。

这个包的特点：

至此，三次握手完成。

三次握手完成后，client 和 server 开始 HTTP 通信，客户端通过 HTTP GET 方法下载 index.html。

这里可以看到：

最后是四次挥手 [5]：

tcpdump 可以指定 -r 读取 pcap 文件，并以指定的格式输出包的信息，最后输出的内容 和上面看到的类似。我们上面的流量非常简单，所以看 tcpdump 的输出就够了。

对于复杂的 pcap，例如，其中包含了上百个 IP 地址、上千个端口、上万个连接的 pcap， 通过 tcpdump 看输出可能就比较低效了。

这时，wireshark 这样带图形用户界面，且功能强大的网 络流分析工具就派上了用场。

wireshark 支持强大的过滤功能，支持按 IP、端口、协议、连接、TCP flag 以及它们的各 种组合进行过滤，然后进行分析，大大节省网络排障的时间。

wireshark 官方维护了一个 sample pcap列表 ，我们拿 iperf-mptcp-0-0.pcap 作为例子来展示如何使用 wireshark。

下载后双击就可以用 wireshark 打开。看到有重传（TCP Retransmition）的包：

在重传的包上，右键 -> Follow -> TCP Stream，会过滤出只属于这个连接的包：

我们看到，这个连接只有 3 个包：

因此，从这个抓包文件看，这次连接没有建立起来，而直接原因就是 client 没有收到 server 的应答包。要跟进这个问题，就需要在 server 端一起抓包，看应答包是否有发出来 。本文不对此展开。

上面的截图我们看到 wireshark 里有 tcp.stream eq 1，这其实就是其强大的过滤表达式。

我们可以直接手写表达式，然后回车，符合条件的包就会显示出来。而且，在编辑表达式的 时候，wireshark 有自动提示，还是比较方便的。这些表达式和 tcpdump 的 filter 表达 式很类似，如果熟悉 tcpdump，那这里不会有太大困难。

下面举一些例子：

有时 pcap 文件太大，导致 wireshark 非常慢，而大部分数据包可能是不需要的。在这种情况 下，可以先用过滤条件筛选出感兴趣的包，然后 File -> Export Specified Packets ... ，弹出的对话框里，可以选择当前显示的包，或者某个指定区间的包另存为新 pcap。

然后就可以关闭原来的 pcap，打开新的 pcap 进行分析。

tcpdump 和 wireshark 功能非常强大，组合起来更是网络排障的首选利器。这里介绍的内容只是九牛一毛，更多的时候，你需要 tcpdump+wireshark+google。

来源：http://arthurchiao.art/blog/tcpdump-practice-zh

---END---