用途：tcpdump 是命令行数据包捕获工具，用于实时捕获、过滤和查看网络流量，也可写入 pcap 文件供后续分析。无持久配置和日志，输出到终端或 pcap 文件。
主要能力：按接口抓包（-i eth0）、列出接口（-D）、写入/读取 pcap（-w、-r）、按主机/端口/协议过滤（host、port、icmp）、关闭 IP 与端口名解析（-nn）、显示十六进制与 ASCII 载荷（-X）、限制包数（-c）、详细输出（-v/-vv/-vvv）、按大小轮转文件（-C 100）、限制每包抓取长度（-s）。
安装：apt install tcpdump 或 dnf install tcpdump。
使用方式：默认接口直接运行 sudo tcpdump；指定接口 sudo tcpdump -i eth0；写文件 sudo tcpdump -i eth0 -w capture.pcap；读取 tcpdump -r capture.pcap。
限制与常见问题：需 root 或 CAP_NET_RAW，否则 permission denied。不加 -nn 会逐包反向 DNS 查询，导致极慢甚至卡死。过滤用 BPF 语法，与 Wireshark 显示过滤不同。pcap 文件增长快，建议用 -C 按 MB 轮转、-W 限制文件数、-s 96 只抓头部。SSH 远程抓包应加 not port 22，避免反馈循环导致会话卡顿或断开。云环境或部分虚拟化平台可能禁止混杂模式，只能看到发往本机 MAC 的流量。接口名错误会报 no suitable device found，可用 sudo tcpdump -D 或 ip link show 核对。