结论与适用范围
在CentOS上，使用具备抓包能力的嗅探器（如tcpdump、tshark、Snort）可以对网络流量进行实时监控，观察连接状态、协议分布、错误与重传、可疑行为等。需要注意的是，嗅探器主要“看到”的是经过本机网卡的数据；在交换机环境下通常只能看到本机或端口镜像/ARP欺骗等特定配置下的流量，且一般需要root权限与网卡混杂模式支持。
常用工具与典型用法
- tcpdump（命令行抓包）
- 安装：sudo yum install -y tcpdump
- 实时查看某接口：sudo tcpdump -i eth0 -nn
- 仅看80端口：sudo tcpdump -i eth0 -nn port 80
- 保存到文件：sudo tcpdump -i eth0 -w capture.pcap
- 读取分析：sudo tcpdump -r capture.pcap -nn
- tshark（Wireshark命令行版，便于统计与报表）
- 安装：sudo yum install -y tshark
- 实时抓包：sudo tshark -i eth0
- 生成CSV报表：sudo tshark -r capture.pcap -T fields -e frame.number -e ip.src -e ip.dst -e tcp.port -E separator=, -E quote=d -E header=y > report.csv
- iftop / nload（实时带宽与流量监控）
- 安装：sudo yum install -y iftop nload
- 实时带宽：sudo iftop -i eth0；sudo nload
- Snort（入侵检测，规则驱动的实时告警）
- 安装：按官方文档编译/安装
- 作用：基于规则对流量进行实时检测与报警
提升实时性与效率的要点
- 使用BPF/捕获过滤表达式减少无关流量（如仅抓取某IP或端口），显著降低CPU与内存开销
- 在需要观察非本机流量时启用混杂模式（promiscuous），并确保具备root权限
- 在交换网络中通过端口镜像或将嗅探器部署在网关/关键链路位置，才能更全面地获取流量
- 结合iftop/nload观察带宽与系统资源，动态调整抓包过滤与存储策略
合规与安全提示
嗅探可能捕获敏感数据（如明文口令、会话内容）。仅在获得授权的网络与主机上开展，并遵守相关隐私与法律法规；生产环境建议最小化抓包范围、妥善保护抓包文件并及时清理。