dumpcap 过滤规则概览
tcp and host 192.168.1.100 and port 80。在 Linux 上通常需要 root/管理员权限 才能捕获。常用过滤规则与示例
| 目的 | 过滤表达式（BPF） | 说明 |
|---|---|---|
| 捕获某主机流量 | host 192.168.1.100 |
源或目的为该 IP 的包 |
| 仅源/仅目的 | src host 192.168.1.100、dst host 192.168.1.100 |
分别限定源或目的 |
| 按端口 | port 80、tcp port 80、udp port 53 |
可限定协议与端口 |
| 端口范围 | tcp portrange 1-1024 |
捕获指定端口区间 |
| 协议过滤 | tcp、udp、icmp、ip、ip6 |
按 L3/L4 协议筛选 |
| 子网过滤 | ip net 192.168.0.0/24 |
匹配整个网段 |
| MAC 地址 | ether host 00:1a:2b:3c:4d:5e |
二层地址过滤 |
| 组合条件 | (src host 1.1.1.1 or src host 2.2.2.2) and port 443 |
括号与逻辑组合 |
| 显示/捕获语法差异 | 捕获：-f "tcp port 80"；显示：ip.addr == 1.1.1.1 |
两者语法不同，勿混用 |
| 以上表达式均为 BPF 捕获过滤 语法，适用于 dumpcap 的 -f 参数。 |
进阶用法与性能建议
常见误区
ip.addr == 1.1.1.1、tcp.port == 80）用于 -f；应使用 BPF 语法（如 host 1.1.1.1、tcp port 80）。
