在 tcpdump 过滤中，“端口”与“tcp”是多余的吗？

Question

为什么在使用“端口”时要在“tcpdump”过滤器中强制使用“tcp”，给定端口号在 TCP 标头中定义（而不是 IP）

换句话说，是

tcpdump tcp and port 10000

同义词

tcpdump port 10000

Answer 1

不。

• tcp and port 10000 意思是“tcp 端口 10000”
• port 10000 表示“tcp 端口 10000 或 udp 端口​​ 10000”，是同义词 (tcp or udp) and port 10000

例如，如果我想只查看通过 TCP 传输的 DNS 数据包（而不是默认的 UDP），我会强制使用 TCP。

（tcpdump应该已命名，packetdump或者netdump因为它可以转储低至第 2 层的数据包信息，而不是其名称暗示的第 4 层。）