linux - 不要使用 tcpdump 捕获具有相同源和目标 IP 的数据包

Question

我在测试中捕获了一些数据包。我不想捕获具有相同 src 和 dst ip 的数据包。我怎样才能做到这一点？

我在下面试过

tcpdump -i any '(不是 src 主机 10.10.10.10)和(不是 dst 主机 10.10.10.10)'

抓包结果不尽如人意。因为，我有一些数据包从 src 主机 10.10.10.10 到 dst 主机 10.10.10.20。我需要捕获它们。

谁能帮帮我。提前谢谢你。

Answer 1

你可以试试:

tcpdump -i any 'not ((src host 10.10.10.10) and (dst host 10.10.10.10))'

如果您正确应用 De Morgan's Theorem ，下面也是等价的:

tcpdump -i any '(not src host 10.10.10.10) or (not dst host 10.10.10.10)'

如果你追加 tcpdump的 -d 选项，你会发现它们实际上是等同于生成的编译数据包匹配代码。我得到以下两者:

(000) ldh      [14]
(001) jeq      #0x800           jt 2    jf 6
(002) ld       [28]
(003) jeq      #0xa0a0a0a       jt 4    jf 13
(004) ld       [32]
(005) jeq      #0xa0a0a0a       jt 12   jf 13
(006) jeq      #0x806           jt 8    jf 7
(007) jeq      #0x8035          jt 8    jf 13
(008) ld       [30]
(009) jeq      #0xa0a0a0a       jt 10   jf 13
(010) ld       [40]
(011) jeq      #0xa0a0a0a       jt 12   jf 13
(012) ret      #0
(013) ret      #65535