1. 为什么需要tcpdump抓包工具
在服务器运维工作中，网络问题就像是一团乱麻，你永远不知道问题出在哪根线上。我遇到过最头疼的情况是：应用突然连接不上数据库，但数据库服务显示正常运行，防火墙配置也没问题。这时候，tcpdump就是我的"听诊器"，能直接监听服务器的网络"心跳"。
银河麒麟v10 sp1作为国产服务器操作系统的主力军，很多关键业务都跑在这个平台上。不同于图形化抓包工具Wireshark，tcpdump的优势在于：
- 轻量级：不依赖GUI，SSH连接就能用
- 精准定位：可以精确到某个网卡、特定端口甚至数据包内容
- 低影响：对系统性能影响极小，生产环境也能放心用
记得有次排查一个偶发的HTTP 500错误，通过tcpdump抓取Nginx和后端服务的通信，发现是TCP连接被异常重置，最终定位到是负载均衡器的健康检查配置问题。没有tcpdump的话，这种问题可能要排查好几天。
2. 安装与基础配置
2.1 检查与安装
在银河麒麟v10 sp1上，先用这个命令检查是否已安装：
rpm -qa | grep tcpdump如果没安装，别急着用yum——银河麒麟的软件源可能有点特殊。我建议先用系统自带的Kylin软件中心搜索安装，如果不行再用：
sudo yum --disablerepo=* --enablerepo=kylin install tcpdump注意：如果遇到依赖问题，可能需要先安装libpcap包，这是tcpdump的底层依赖库。
2.2 权限配置
很多新手会直接root运行tcpdump，其实更安全的做法是：
sudo groupadd pcap sudo usermod -a -G pcap your_username sudo chgrp pcap /usr/sbin/tcpdump sudo chmod 750 /usr/sbin/tcpdump sudo setcap cap_net_raw,cap_net_admin=eip /usr/sbin/tcpdump这样配置后，普通用户也能抓包，避免了root权限滥用的风险。
3. 实战抓包技巧
3.1 基础抓包命令
先看网卡列表：
tcpdump -D在银河麒麟上，常见的网卡名可能是ens33、eth0或者新版的命名如enp0s3。
抓取HTTP流量（80端口）的黄金命令：
tcpdump -i ens33 -nn -s0 port 80 -w http.pcap参数解释：
-nn：不解析域名和端口名（加快速度）-s0：抓完整数据包（避免截断）port 80：只抓HTTP流量-w：保存为pcap文件供后续分析
3.2 高级过滤技巧
排查数据库连接问题时，我常用这个组合：
tcpdump -i any -nn -s0 'port 3306 and (tcp[13] & 4!=0 or tcp[13] & 2!=0)'这个魔法般的命令可以抓取MySQL端口的RST和SYN包，专门用来诊断连接中断问题。
如果想看某个IP的进出流量：
tcpdump -i ens33 host 192.168.1.100 -c 50 -w problem_host.pcap-c 50表示只抓50个包，避免文件过大。
4. 典型故障排查案例
4.1 案例一：服务间通信超时
现象：A服务调用B服务经常超时，但双方日志都显示正常。
排查步骤：
- 在B服务服务器抓包：
tcpdump -i ens33 -nn host 10.0.0.1 and port 8080 -w timeout.pcap - 用Wireshark分析pcap文件，发现TCP重传率高达30%
- 最终定位到是中间交换机端口协商模式不匹配
4.2 案例二：DNS解析异常
现象：应用偶尔报"Unknown host"错误。
抓包命令：
tcpdump -i any -nn -s0 port 53 -w dns_debug.pcap分析后发现是DNS查询响应时间波动大，调整/etc/resolv.conf的nameserver顺序后解决。
5. 性能优化与注意事项
5.1 降低系统影响
在大流量环境下，这些参数很关键：
tcpdump -i ens33 -B 4096 -c 1000 -w traffic.pcap-B 4096设置缓冲区大小，避免丢包。如果还出现"packets dropped by kernel"，可能需要调整内核参数：
sysctl -w net.core.rmem_max=262144005.2 分析技巧
抓到的pcap文件可以用scp传到本地，用Wireshark图形化分析。但紧急情况下，直接命令行分析也很高效：
tcpdump -r http.pcap -nn 'tcp[13] == 0x12' | wc -l这个命令可以统计SYN-ACK包数量，快速判断连接建立成功率。
在银河麒麟上长期运行抓包建议用nohup：
nohup tcpdump -i ens33 -G 3600 -w /var/log/tcpdump/%Y-%m-%d_%H-%M-%S.pcap &-G 3600表示每小时轮转一个文件，避免单个文件过大。