debian dumpcap怎么分析流量

在 Debian 上用 dumpcap 分析流量，一般流程是：抓包 → 保存文件 → 用 Wireshark / tshark / 其他工具分析。dumpcap 本身主要用于抓包，不是直接做复杂协议分析的工具。

下面按常见场景说明。

一、安装 dumpcap

sudo apt update
sudo apt install wireshark-common

安装过程中会问是否允许非 root 用户抓包：

选 Yes（推荐）
或之后手动：

sudo dpkg-reconfigure wireshark-common
sudo usermod -aG wireshark $USER

注销重新登录生效。

二、用 dumpcap 抓包

1. 查看网卡

dumpcap -D

输出示例：

1. eth0
2. lo

2. 基本抓包命令

sudo dumpcap -i eth0 -w capture.pcap

-i eth0：指定网卡
-w capture.pcap：保存文件

3. 限制抓包大小或数量

# 只抓 100 MB
dumpcap -i eth0 -w cap.pcap -b filesize:100000

# 只抓 1000 个包
dumpcap -i eth0 -w cap.pcap -c 1000

4. 后台抓包（常用）

sudo dumpcap -i eth0 -w cap.pcap -q &

三、分析 dumpcap 抓到的流量

方法 1：用 Wireshark（图形界面）

如果你有桌面环境：

wireshark cap.pcap

可以：

按协议过滤
看 TCP 流
分析 HTTP / DNS / TLS

方法 2：用 tshark（命令行，最常用）

tshark 是 Wireshark 的命令行版，适合服务器。

sudo apt install tshark

查看基本统计

tshark -r cap.pcap -q -z io,stat,1

按协议统计

tshark -r cap.pcap -q -z protocols

查看 HTTP 请求

tshark -r cap.pcap -Y http.request

查看 DNS 查询

tshark -r cap.pcap -Y dns

提取 TCP 流

tshark -r cap.pcap -q -z follow,tcp,ascii,0

方法 3：用 tcpdump 辅助分析

tcpdump -r cap.pcap -n

适合快速看 IP / 端口。

四、常见分析思路

先整体统计
- 流量大小
- 协议分布
定位异常
- 高频 IP
- 异常端口
- 大量重传（TCP Retransmission）
深入会话
- Follow TCP Stream
- HTTP / TLS 解密（如有 key）

五、dumpcap 与 tshark 的关系

dumpcap：只抓包（效率高）
tshark / wireshark：分析包
推荐组合：
```
dumpcap 抓包 → tshark 分析
```

如果你有具体需求（比如：

分析 HTTP 接口慢
抓某个 IP 的流量
服务器被攻击排查
TLS 解密

可以告诉我，我可以给你更针对性的命令。