linux抓包工具有哪些

Linux系统作为服务器和嵌入式设备的常用操作系统，网络相关的调试和排查需求非常普遍，抓包工具是处理这类问题的必备工具。不同的抓包工具在功能侧重、使用场景上各有不同，下面为大家详细介绍几款主流的Linux抓包工具。

1. tcpdump

tcpdump是Linux系统自带的经典命令行抓包工具，几乎在所有Linux发行版的默认仓库中都可以直接安装，不需要额外依赖复杂的图形环境，非常适合在服务器、无图形界面的嵌入式设备上使用。

它的核心优势是轻量、灵活，支持通过过滤规则精准捕获指定条件的网络数据包，比如指定网卡、源IP、目的端口、协议类型等。基础使用示例如下：

# 安装tcpdump（Debian/Ubuntu系统）
sudo apt install tcpdump -y

# 安装tcpdump（CentOS/RHEL系统）
sudo yum install tcpdump -y

# 捕获eth0网卡的所有数据包，保存到test.pcap文件
sudo tcpdump -i eth0 -w test.pcap

# 捕获目的端口为80的TCP数据包并打印简要信息
sudo tcpdump -i eth0 tcp dst port 80

2. wireshark

wireshark是一款功能强大的图形化网络协议分析工具，支持Linux、Windows、macOS等多平台，它不仅可以捕获数据包，还能对数据包进行逐层解析，展示协议头、负载内容等详细信息，适合需要深入分析协议细节的场景。

Linux系统下安装wireshark后，需要给普通用户赋予抓包权限，避免每次都需要使用sudo执行。基础使用示例如下：

# 安装wireshark（Debian/Ubuntu系统）
sudo apt install wireshark -y

# 安装wireshark（CentOS/RHEL系统）
sudo yum install wireshark -y

# 将当前用户加入wireshark用户组，获取抓包权限
sudo usermod -aG wireshark $USER

# 启动wireshark图形界面
wireshark

启动后可以在界面中选择需要捕获的网卡，设置过滤条件，捕获到的数据包会实时展示在列表中，点击单个数据包可以查看完整的协议解析内容。

3. tshark

tshark是wireshark的命令行版本，继承了wireshark强大的协议解析能力，同时可以在无图形界面的环境下运行，适合需要自动化抓包、批量分析数据包的场景，也可以将捕获结果输出为结构化格式方便后续处理。

基础使用示例如下：

# 捕获eth0网卡的HTTP数据包，打印简要信息
tshark -i eth0 -Y "http"

# 捕获数据包并输出为JSON格式，方便程序解析
tshark -i eth0 -T json -w output.json

# 统计eth0网卡的TCP连接数
tshark -i eth0 -q -z conv,tcp

4. tcpflow

tcpflow是一款专注于TCP流重组的抓包工具，它可以将捕获到的TCP数据包按照流进行重组，还原出完整的TCP会话内容，不需要用户手动拼接分散的数据包，非常适合分析TCP传输的完整内容，比如HTTP请求响应、文件传输内容等。

基础使用示例如下：

# 安装tcpflow（Debian/Ubuntu系统）
sudo apt install tcpflow -y

# 安装tcpflow（CentOS/RHEL系统）
sudo yum install tcpflow -y

# 捕获eth0网卡的所有TCP流，按连接保存到当前目录
sudo tcpflow -i eth0

# 捕获目的端口为443的TCP流
sudo tcpflow -i eth0 port 443

工具对比与选择建议

不同工具的特点和适用场景差异较大，我们可以通过下面的表格快速对比：

如果是临时在服务器上快速排查网络问题，优先选择tcpdump；如果需要深入分析协议细节，或者刚接触抓包技术，选择wireshark；如果需要将抓包集成到自动化流程中，tshark是更好的选择；如果需要还原完整的TCP会话内容，tcpflow会更高效。

tcpdumpwiresharktsharktcpflow修改时间：2026-07-24 04:54:24