Linux的dumpcap支持哪些过滤器

Linux dumpcap支持的过滤器类型及用法

dumpcap是Wireshark套件中的命令行数据包捕获工具，其过滤器功能主要基于BPF（Berkeley Packet Filter）语法，用于实时筛选或保存符合条件的网络流量。以下是具体支持的过滤器类型及示例：

一、核心过滤器类型：BPF（Berkeley Packet Filter）

BPF是dumpcap的默认过滤机制，通过简洁的语法实现对数据包的实时过滤，支持按协议、端口、IP地址、接口等条件筛选。BPF表达式可直接通过-f或--filter选项传递给dumpcap。

1. 基础协议过滤

• 捕获所有TCP流量：tcp
  示例：dumpcap -i eth0 -w tcp_all.pcap -f "tcp"
• 捕获所有UDP流量：udp
  示例：dumpcap -i eth0 -w udp_all.pcap -f "udp"
• 捕获所有ICMP流量：icmp
  示例：dumpcap -i eth0 -w icmp_all.pcap -f "icmp"

2. 端口过滤

• 捕获指定端口（如80）的流量：port 80
  示例：dumpcap -i eth0 -w port80.pcap -f "port 80"
• 捕获源端口为80的流量：src port 80
  示例：dumpcap -i eth0 -w src_port80.pcap -f "src port 80"
• 捕获目标端口为443的流量：dst port 443
  示例：dumpcap -i eth0 -w dst_port443.pcap -f "dst port 443"
• 捕获多个端口（如80或443）的流量：port 80 or port 443
  示例：dumpcap -i eth0 -w multi_port.pcap -f "port 80 or port 443"

3. IP地址过滤

• 捕获特定IP（如192.168.1.100）的流量：host 192.168.1.100
  示例：dumpcap -i eth0 -w host192.pcap -f "host 192.168.1.100"
• 捕获源IP为192.168.1.1的流量：src host 192.168.1.1
  示例：dumpcap -i eth0 -w src_host.pcap -f "src host 192.168.1.1"
• 捕获目标IP为192.168.1.1的流量：dst host 192.168.1.1
  示例：dumpcap -i eth0 -w dst_host.pcap -f "dst host 192.168.1.1"
• 捕获特定网段（如192.168.1.0/24）的流量：net 192.168.1.0/24
  示例：dumpcap -i eth0 -w net192.pcap -f "net 192.168.1.0/24"

4. 组合条件过滤

通过and（与）、or（或）、not（非）组合多个条件，实现更精准的过滤：

• 捕获TCP端口80且源IP为192.168.1.1的流量：tcp and src host 192.168.1.1 and port 80
  示例：dumpcap -i eth0 -w tcp_src192_port80.pcap -f "tcp and src host 192.168.1.1 and port 80"
• 捕获HTTP（端口80）或HTTPS（端口443）的流量：tcp port 80 or tcp port 443
  示例：dumpcap -i eth0 -w http_https.pcap -f "tcp port 80 or tcp port 443"

二、其他过滤方式

1. 过滤器文件

可将常用BPF表达式保存到文件（如filter.txt），通过-F或--filters-file选项加载：

• 创建filter.txt文件，内容为：tcp port 80 and host 192.168.1.100
• 加载过滤器文件：dumpcap -i eth0 -w filtered.pcap -F filter.txt

2. 显示过滤器（需配合Wireshark）

dumpcap本身不支持显示过滤器（用于捕获后筛选），但可将捕获的流量保存为.pcap文件，再用Wireshark的显示过滤器（如ip.addr == 192.168.1.1）进行分析。不过，部分高级用法可通过-Y选项实现类似效果（需注意：-Y是Wireshark的显示过滤器语法，dumpcap的-Y选项支持有限，建议优先使用BPF过滤）。

注意事项

• 权限要求：dumpcap需要root权限才能捕获网络流量，建议使用sudo运行。
• 语法区分大小写：BPF表达式中的关键字（如tcp、port）需小写，IP地址、端口等参数需正确书写。
• 性能优化：复杂过滤条件（如多层嵌套逻辑）可能影响捕获性能，建议尽量简化表达式。

以上是dumpcap支持的主要过滤器类型及用法，覆盖了常见的网络流量捕获场景。通过灵活组合BPF语法，可实现精准的流量筛选需求。