tcpdump - 如何同时通过eth0和lo抓包？

Question

我的电脑上有两个网络接口(interface)。

netstat -i
Kernel Interface table
Iface   MTU Met   RX-OK RX-ERR RX-DRP RX-OVR    TX-OK TX-ERR TX-DRP TX-OVR Flg
eth0       1500 0     27186      0      0 0         20784      0      0      0 BMRU
lo        65536 0     42025      0      0 0         42025      0      0      0 LRU

通过 lo 可以捕获的包。

sudo tcpdump  -i lo 

通过eth0的包可以被.

sudo tcpdump  -i eth0 

如何同时通过eth0和lo抓包？
sudo tcpdump -i eth0 -i lo 无法运行。
sudo tcpdump -i eth0 -i lo = sudo tcpdump -i eth0=sudo tcpdump

Answer 1

假设您的内核支持它，您可以运行 tcpdump -i any，但这将捕获所有 接口(interface)，而不仅仅是lo 和 eth0 接口(interface)。此外，根据 tcpdump man page ，“...在“任何”设备上的捕获将不会在混杂模式下完成。”，因此如果您需要将 NIC 置于混杂模式以捕获您感兴趣的流量，此解决方案可能不适合您。在这种情况下，您可以:

• 启动 2 个单独的 tcpdump 实例，一个在 lo 上捕获，另一个在 eth0 上捕获。如果将数据包写入单独的文件，则可以使用诸如 mergecap 之类的工具。之后将它们合并在一起。
• 使用dumpcap或 tshark相反，其中任何一个都可以在多个接口(interface)上捕获。