Ubuntu Sniffer如何进行网络监控

Ubuntu Sniffer（以tcpdump为例）网络监控操作指南

一、准备工作：安装Sniffer工具

在Ubuntu系统中，最常用的命令行Sniffer工具是tcpdump，需通过包管理器安装（图形化工具Wireshark也可选，但本文聚焦命令行操作）。
打开终端，依次执行以下命令更新软件包列表并安装tcpdump：

sudo apt update
sudo apt install tcpdump

二、启动Sniffer：捕获网络流量

1. 指定监控接口

使用-i参数指定要监控的网络接口（如以太网eth0、无线网卡wlan0或所有接口any）。首先可通过ip addr或ifconfig命令查看可用接口名称：

sudo tcpdump -i eth0  # 监控eth0接口的所有流量
sudo tcpdump -i any   # 监控所有网络接口的流量（默认行为）

2. 实时查看流量详情

直接运行上述命令后，终端会实时显示捕获的数据包信息（包括时间戳、源/目标MAC地址、IP地址、端口、协议类型等）。按Ctrl+C停止捕获。

三、过滤流量：精准定位目标数据

为避免捕获过多冗余数据，可通过BPF（Berkeley Packet Filter）语法设置过滤条件，常见场景如下：

1. 按协议过滤

只捕获HTTP流量（端口80）：
```
sudo tcpdump -i eth0 tcp port 80
```
只捕获DNS查询（UDP端口53）：
```
sudo tcpdump -i eth0 udp port 53
```

2. 按IP地址过滤

捕获与特定IP（如192.168.1.100）相关的所有流量：
```
sudo tcpdump -i eth0 host 192.168.1.100
```
捕获来自特定IP（源IP）的流量：
```
sudo tcpdump -i eth0 src 192.168.1.100
```
捕获发送到特定IP（目标IP）的流量：
```
sudo tcpdump -i eth0 dst 192.168.1.100
```

3. 组合条件过滤

通过and/or/not连接多个条件，进一步缩小范围（如捕获192.168.1.100与10.0.0.1之间的HTTP流量）：

sudo tcpdump -i eth0 host 192.168.1.100 and host 10.0.0.1 and tcp port 80

四、保存与读取：存储捕获数据

1. 保存到文件

使用-w参数将捕获的数据包保存为.pcap文件（二进制格式，便于后续分析）：

sudo tcpdump -i eth0 -w capture.pcap  # 保存到当前目录

2. 读取文件内容

使用-r参数读取已保存的.pcap文件（可在终端查看或导入Wireshark分析）：

sudo tcpdump -r capture.pcap  # 在终端查看文件内容

五、进阶技巧：优化监控效率

1. 不解析域名（提升速度）

添加-n参数可跳过域名解析（避免DNS查询带来的延迟）：

sudo tcpdump -i eth0 -n

2. 显示数据包内容

添加-X参数可显示数据包的十六进制和ASCII内容（适用于查看HTTP请求/响应头等明文信息）：

sudo tcpdump -i eth0 -X port 80

3. 限制抓包大小

使用-s参数设置每个数据包的捕获长度（如只捕获前96字节，减少文件大小）：

sudo tcpdump -i eth0 -s 96

六、后续分析：图形化工具辅助

虽然tcpdump提供文本格式的流量信息，但复杂场景下建议使用Wireshark（图形化协议分析器）进行深度分析：

安装Wireshark：
```
sudo apt install wireshark
```
打开捕获文件：
启动Wireshark后，点击“File”→“Open”，选择保存的.pcap文件即可查看可视化流量详情（如数据包层级结构、协议分布、流量趋势等）。

七、注意事项

权限要求：tcpdump需root权限才能捕获数据包，建议使用sudo或切换至root用户。
合法性：仅监控自己拥有或已获授权的网络，禁止捕获他人隐私数据（如密码、个人信息）。
性能影响：高流量环境下长时间抓包可能占用大量磁盘空间，建议结合过滤条件（如仅捕获HTTP流量）或分割文件（-C参数，按大小分割）避免磁盘爆满。