Dumpcap在Debian支持哪些过滤器

Dumpcap 在 Debian 的过滤器支持概览

• 在 Debian 上，dumpcap 使用 libpcap 的 BPF（Berkeley Packet Filter）语法，通过 -f/–filter 指定捕获过滤表达式。常用类别包括：
  • IP 地址：host、src host、dst host
  • 端口：port、src port、dst port、tcp port、udp port
  • 协议：ip、ip6、tcp、udp、icmp 等
  • 以太网层：ether host、ether src、ether dst
  • 逻辑与/或/非：and、or、not，支持括号分组
    这些表达式与 Wireshark/Tcpdump 的捕获过滤语法一致，可直接在 dumpcap 中使用。

常用过滤器与示例

使用要点

• 指定接口与过滤：使用 -i <接口>（如 eth0、any）与 -f “<表达式>”；例如：sudo dumpcap -i any -w http.pcap -f “tcp port 80”。
• 权限配置：将用户加入 wireshark 组或以 sudo 运行，以获得抓包权限。
• 表达式风格：捕获过滤使用 BPF 语法（如 host、port、and/or/not）；显示过滤（Wireshark 图形界面）语法不同，勿混用。
• 快速验证：可用 -w - 将捕获内容输出到控制台，便于测试过滤表达式是否生效。