經過tcpdump確認Linux系統是否收到和響應ping包

簡單說就是發現某系統沒法被ping通，須要確認是服務器收到了ping包沒有響應，仍是它壓根沒有收到ping包

在Linux系統上執行如下命令

tcpdump -i eth0 icmp

-i：指定檢測哪一個網口，不指定此參數將捕獲全部接口數據，包括lo；

#-v：顯示詳細信息，可選，對於上述問題來說，不加-v也能完成，且輸出格式更整齊；

icmp：ping包走icmp協議，這個不用解釋了吧

執行命令後，查看是否有request和reply。以下：

[root@VLT ~]# tcpdump -i eth0 icmp 
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
11:15:41.138115 IP 172.16.x.xxx > 172.30.x.xxx: ICMP echo request, id 1, seq 17, length 40
11:15:41.138149 IP 172.30.x.xxx > 172.16.x.xxx: ICMP echo reply, id 1, seq 17, length 40
11:15:42.139969 IP 172.16.x.xxx > 172.30.x.xxx: ICMP echo request, id 1, seq 18, length 40
11:15:42.139997 IP 172.30.x.xxx > 172.16.x.xxx: ICMP echo reply, id 1, seq 18, length 40

出現request說明系統收到ping包，出現reply說明系統響應ping包。

若是隻出現request，那麼

    一、檢查sysctl -a | grep icmp_echo，確認net.ipv4.icmp_echo_ignore_all=0

    二、檢查iptables -vL，確認-p icmp爲ACCPET

若是沒有request和reply都沒有，那麼說明ping包未能到達此主機，須要檢查鏈路或者前端防火牆的策略。

 tcpdump的選項介紹

-a將網絡地址和廣播地址轉變成名字；

-b在數據-鏈路層上選擇協議，包括ip、arp、rarp、ipx都是這一層的。tcpdump -b arp 將只顯示網絡中的arp即地址轉換協議信息；

-c在收到指定數目的包後，tcpdump就會中止；

-d將匹配信息包的代碼以人們可以理解的彙編格式給出；

-dd將匹配信息包的代碼以c語言程序段的格式給出；

-ddd將匹配信息包的代碼以十進制的形式給出；

-e在輸出行打印出數據鏈路層的頭部信息；

-f將外部的Internet地址以數字的形式打印出來；

-F從指定的文件中讀取表達式,忽略其它的表達式；

-i指定監聽的網絡接口；

-l使標準輸出變爲緩衝行形式,如tcpdump -l >tcpcap.txt將獲得的數據存入tcpcap.txt文件中；

-n不進行IP地址到主機名的轉換；

-N不打印出默認的域名

-nn不進行端口名稱的轉換；

-O不進行匹配代碼的優化，當懷疑某些bug是由優化代碼引發的, 此選項將頗有用；

-r從指定的文件中讀取包(這些包通常經過-w選項產生)；

-s抓取數據包時默認抓取長度爲68字節。加上 -s 0 後能夠抓到完整的數據包

-t在輸出的每一行不打印UNIX時間戳，也就是不顯示時間；

-T將監聽到的包直接解釋爲指定的類型的報文，常見的類型有rpc(遠程過程調用)和snmp；

-tt打印原始的、未格式化過的時間；

-v輸出一個稍微詳細的信息，例如在ip包中能夠包括ttl和服務類型的信息；

-vv輸出詳細的報文信息；

-w直接將包寫入文件中，並不分析和打印出來；

如下是tcpdump的其餘一些示例（轉載）

一、抓取包含10.10.10.122的數據包 

tcpdump -i eth0 -vnn host 10.10.10.122

二、抓取包含10.10.10.0/24網段的數據包

tcpdump -i eth0 -vnn net 10.10.10.0/24

三、抓取包含端口22的數據包

tcpdump -i eth0 -vnn port 22

四、抓取udp協議的數據包

tcpdump -i eth0 -vnn  udp

五、抓取icmp協議的數據包

tcpdump -i eth0 -vnn icmp

六、抓取arp協議的數據包

tcpdump -i eth0 -vnn arp

七、抓取ip協議的數據包

tcpdump -i eth0 -vnn ip

八、抓取源ip是10.10.10.122數據包。

tcpdump -i eth0 -vnn src host 10.10.10.122

九、抓取目的ip是10.10.10.122數據包

tcpdump -i eth0 -vnn dst host 10.10.10.122

十、抓取源端口是22的數據包

tcpdump -i eth0 -vnn src port 22

十一、抓取源ip是10.10.10.253且目的ip是22的數據包

tcpdump -i eth0 -vnn src host 10.10.10.253 and dst port 22

               
十二、抓取源ip是10.10.10.122或者包含端口是22的數據包

tcpdump -i eth0 -vnn src host 10.10.10.122 or port 22

1三、抓取源ip是10.10.10.122且端口不是22的數據包

tcpdump -i eth0 -vnn src host 10.10.10.122 and not port 22

1四、抓取源ip是10.10.10.2且目的端口是22，或源ip是10.10.10.65且目的端口是80的數據包。

tcpdump -i eth0 -vnn \( src host 10.10.10.2 and dst port 22 \) or   \( src host 10.10.10.65 and dst port 80 \)

1五、抓取源ip是10.10.10.59且目的端口是22，或源ip是10.10.10.68且目的端口是80的數據包。

tcpdump -i  eth0 -vnn 'src host 10.10.10.59 and dst port 22' or  ' src host 10.10.10.68 and dst port 80 '

1六、把抓取的數據包記錄存到/tmp/fill文件中，當抓取100個數據包後就退出程序。

tcpdump –i eth0 -vnn -w  /tmp/fil1 -c 100

1七、從/tmp/fill記錄中讀取tcp協議的數據包

tcpdump –i eth0 -vnn -r  /tmp/fil1 tcp

1八、從/tmp/fill記錄中讀取包含10.10.10.58的數據包

tcpdump –i eth0 -vnn -r  /tmp/fil1 host  10.10.10.58