总体结论
在Ubuntu上使用嗅探器（如tcpdump、Wireshark/tshark）可以在网卡开启混杂模式时捕获经过该网卡的大部分数据帧，但受限于网络拓扑、硬件能力、操作系统与权限、加密与应用层特性，无法保证“捕获所有流量”。常见限制包括交换机/路由策略、无线网卡与驱动支持、缺少管理员权限、以及TLS/SSL等加密导致的载荷不可读等。
影响捕获范围的典型因素
- 网络拓扑与设备行为：在集线器或镜像/SPAN端口环境中，更容易看到更多流量；在普通交换网络中，默认只接收发往本机或广播/多播的帧，需借助端口镜像才能覆盖更多主机通信。无线网卡通常只能捕获与自身关联的BSSID流量，且需要驱动支持监控模式。
- 权限与接口模式：抓包通常需要root/管理员权限；必须在目标接口启用混杂模式才能接收非本机目的的数据帧。
- 加密与应用层：如TLS/SSL/HTTPS等加密流量，嗅探器能看到连接元数据（五元组、SNI 等），但无法解密应用层内容；某些协议（如IPsec）也可能对可见性造成影响。
- 资源与存储：长时间全量抓包会产生大量数据，受磁盘空间、CPU/内存、缓冲区等限制，可能导致丢包或影响系统性能。
在Ubuntu上实现“尽可能多”的捕获
- 选择监听点：优先在网关/核心交换机的镜像端口部署抓包，或在受控主机上直接抓eth0/wlan0等接口。
- 正确启用抓包：以管理员权限运行，开启混杂模式，并尽量写入文件以便事后分析（减少终端渲染开销）。示例：
- 使用tcpdump：
- 实时抓取并写入文件：
sudo tcpdump -i eth0 -w capture.pcap
- 读取分析：
sudo tcpdump -r capture.pcap
- 使用tshark（Wireshark 命令行）：
- 实时抓取：
sudo tshark -i eth0 -w capture.pcap
- 无线抓包：将无线网卡切到监控模式并使用支持802.11监控的工具（如Acrylic Wi‑Fi Sniffer），可捕获管理/控制帧及未加密数据帧；对加密数据仍受密钥限制。
- 减少丢包与后期分析：合理设置BPF 过滤表达式仅抓取关心的流量，控制抓包时长与文件滚动，必要时采用更高性能存储。
合规与风险提示
抓包涉及隐私与合规风险，务必在获得明确授权的网络与主机上开展，避免收集、保存或传播敏感信息；对加密流量仅作元数据层面的分析，避免尝试解密未授权内容。