Debian sniffer如何分析流量

在 Debian 上“分析流量”通常取决于你说的 sniffer 是指抓包工具还是流量分析工具。下面按常见场景给你一个完整、实用的说明。

一、常用流量分析工具概览（Debian 可用）

二、使用 tcpdump 抓包（最常用）

1️⃣ 安装

sudo apt update
sudo apt install tcpdump

2️⃣ 查看网卡

ip a
# 或
tcpdump -D

3️⃣ 抓所有流量

sudo tcpdump -i eth0

4️⃣ 抓 HTTP 流量

sudo tcpdump -i eth0 port 80 -A

5️⃣ 抓 HTTPS（只能看到连接，看不到内容）

sudo tcpdump -i eth0 port 443

6️⃣ 保存到文件（供 Wireshark 分析）

sudo tcpdump -i eth0 -w traffic.pcap

三、使用 Wireshark 深度分析（推荐）

1️⃣ 安装

sudo apt install wireshark

安装时选择 “允许普通用户抓包”

2️⃣ 启动

wireshark

3️⃣ 常用分析技巧

• 过滤 HTTP

  http
  

• 过滤某 IP

  ip.addr == 192.168.1.10
  

• 过滤端口

  tcp.port == 443
  

• 追踪 TCP 流

  右键 → Follow → TCP Stream
  

四、使用 tshark（服务器无 GUI）

安装

sudo apt install tshark

示例

tshark -i eth0
tshark -i eth0 -Y "http"
tshark -r traffic.pcap

五、实时流量分析（不看包内容）

iftop（看带宽）

sudo apt install iftop
sudo iftop -i eth0

nethogs（看进程）

sudo apt install nethogs
sudo nethogs eth0

六、重要注意事项（⚠️ 非常关键）

✅ 合法使用

• 只能分析你自己的设备 / 你有权限的网络
• 抓他人流量可能违法（如《网络安全法》）

✅ HTTPS 限制

• HTTPS 流量 无法解密
• 除非你有：
  • 私钥
  • 或中间人代理（如 mitmproxy）

七、典型分析流程（推荐）

tcpdump 抓包
   ↓
Wireshark 打开 .pcap
   ↓
过滤协议 / IP / 端口
   ↓
Follow TCP Stream
   ↓
定位问题

八、我可以继续帮你

你可以直接告诉我：

1. ✅ 是 服务器 还是 个人电脑？
2. ✅ 想分析 HTTP / DNS / 慢请求 / 攻击 / 异常流量？
3. ✅ 是否有 图形界面？
4. ✅ 是 实时分析 还是 离线分析？

我可以给你精确到命令级别的方案。