Tshark：强大的命令行网络抓包与分析工具
Tshark 是Wireshark的命令行版本，具备强大的网络抓包、协议解析与自动化分析能力。它适用于服务器、远程主机或需要脚本集成的场景，是网络工程师和开发者排查网络问题、分析流量的利器。
Tshark 简介
- Tshark 允许你实时捕获网络数据包，也可以读取和解析已有的抓包文件。
- 支持丰富的协议解析，输出格式灵活，适合与其他命令行工具（如 awk、sort、uniq）配合使用。
- 相较于 Wireshark，Tshark 更轻量、速度更快、适合自动化处理。
安装 Tshark
在大多数 Linux 发行版中，Tshark 随 Wireshark 一同分发。安装方法如下：
# CentOS/RHEL
yum install -y wireshark# Ubuntu/Debian
apt-get install -y tshark
安装完成后，可用 tshark -v 查看版本。
常用命令与参数说明
| 参数 | 说明 |
|---|---|
| -i | 指定抓包的网卡接口（如 eth0、en0 等） |
| -D | 列出所有可用的网络接口 |
| -f | 使用 libpcap 语法进行包过滤（如 ‘tcp port 80’） |
| -c | 抓取指定数量的数据包后停止 |
| -w | 将抓到的数据包保存为文件（pcapng 格式） |
| -r | 读取并解析指定的抓包文件 |
| -T | 指定输出格式（如 text、json、fields、tabs 等） |
| -e | 配合 -T fields 输出指定字段 |
| -Y | 使用 Wireshark 语法的显示过滤器 |
| -V | 输出详细的包结构信息 |
| -n | 禁止地址名称解析，提升速度 |
| -z | 进行统计分析（如流量、会话、RTP 等） |
| -h | 显示帮助信息 |
更多参数可通过 tshark -h 或官方文档查看。
常见使用场景与代码示例
1. 列出所有网络接口
tshark -D
输出所有可用网卡编号和名称，便于选择抓包接口。
2. 实时抓包
tshark -i eth0
在 eth0 接口上抓取所有流量，并实时输出简要信息。
3. 抓取指定数量的数据包
tshark -i eth0 -c 10
抓取 10 个数据包后自动停止[1][3]。
4. 抓取 HTTP 流量
tshark -i eth0 -f 'tcp port 80'
仅捕获 HTTP（80 端口）相关的 TCP 流量。
5. 抓包并保存到文件
tshark -i eth0 -w output.pcapng
将抓到的数据包保存为 output.pcapng 文件，便于后续分析。
6. 读取并解析已有抓包文件
tshark -r output.pcapng
解析并输出抓包文件内容[2][3][5]。
7. 输出指定协议字段（如 HTTP Host 和 URI）
tshark -i eth0 -n -f 'tcp port 80' -Y 'http.request' -T fields -e http.host -e http.request.uri -l
实时输出所有 HTTP 请求的 Host 和 URI 字段，适合日志分析或自动化处理。
8. 统计分析（如 RTP 流统计）
tshark -r demo.pcap -qn -z rtp,streams
对 RTP 流进行统计分析，-z 参数支持多种统计类型。
进阶用法与自动化
- Tshark 输出为文本，易于与 shell 脚本、awk、grep 等工具结合，实现复杂的自动化分析[2]。
- 支持多种输出格式（如 json、fields），便于集成到日志系统或大数据平台。
总结
Tshark 是一款功能强大的命令行抓包与分析工具，适用于服务器端、远程排障、自动化测试等多种场景。掌握 Tshark 的常用命令和参数，能极大提升网络问题定位与数据分析的效率。
如需更详细的协议解析、过滤表达式或统计分析，可以查阅官方手册或使用 tshark -h 获取帮助。