怎么看centos sniffer结果

在 CentOS 上，“sniffer 结果”一般指的是抓包工具（如 tcpdump、Wireshark、tshark、sniffit 等）捕获到的网络数据包。下面从常见工具 → 如何看结果 → 重点关注内容给你一个实用说明。

一、CentOS 常见 sniffer 工具

1. tcpdump（最常用）

tcpdump -i eth0 -nn -X

• -i 指定网卡
• -nn 不解析主机名和端口名
• -X 显示数据内容

2. tshark（命令行 Wireshark）

tshark -i eth0

3. Wireshark（GUI，需桌面环境）

yum install wireshark
wireshark

二、tcpdump 结果怎么看（示例）

13:21:01.123456 IP 192.168.1.10.22 > 192.168.1.20.54321: Flags [P.], seq 1:100, ack 50

逐段解释：

• 13:21:01.123456：抓包时间
• IP：协议
• 192.168.1.10.22：源 IP:端口（22 通常是 SSH）
• 192.168.1.20.54321：目的 IP:端口
• Flags [P.]：TCP 标志
  • [S] SYN
  • [.] ACK
  • [P] PUSH（有数据）
  • [F] FIN
  • [R] RST
• seq/ack：TCP 序列号和确认号

三、看 sniffer 结果的重点

1️⃣ 看“是不是有异常连接”

• 陌生 IP
• 非业务端口（如 22、3389、6379）
• 大量 SYN（可能是扫描）

2️⃣ 看“通信是否正常”

• 只有 SYN 没 ACK → 连接失败
• 大量 RST → 被拒绝
• 重传多 → 网络丢包

3️⃣ 看“应用层内容（高级）”

tcpdump -i eth0 -A port 80

可看到 HTTP 明文请求

四、常见排查场景

✅ 网络不通

• 看有没有 SYN 发出、有没有回 ACK

✅ 被扫描/攻击

• 看源 IP 是否集中
• 看端口是否异常

✅ 应用慢

• 看重传、延迟、TCP 窗口

五、实用命令推荐

# 只看某 IP
tcpdump host 192.168.1.10

# 只看某端口
tcpdump port 80

# 保存文件用 Wireshark 分析
tcpdump -i eth0 -w test.pcap

如果你能贴一段 sniffer 输出或说明：

• 用的什么工具
• 想排查什么问题（断网 / 攻击 / 慢 / 异常）

我可以直接帮你“读”结果。