Long Luo's Life Notes ·

Linux Network Command Guide

💡 原文英文，约1700词，阅读约需6分钟。

📝

内容提要

本文介绍了Linux下的网络抓包命令，主要使用tcpdump和tshark工具。通过示例讲解如何抓取MySQL的SQL语句、分析响应时间及处理SSL加密数据，提供多种命令行选项以帮助用户高效进行网络数据分析。

🎯

使用tcpdump命令抓取MySQL数据包并保存为文件，例如：sudo tcpdump -i eth0 port 3306 -w plantegg.cap。
使用tshark命令抓取详细的SQL语句，示例命令包括：sudo tshark -i eth0 -Y 'mysql.command==3' -T fields -e mysql.query。
分析MySQL响应时间时，需注意一个查询可能有多个响应，只需关注第一个响应。
如果MySQL开启了SSL，抓包后无法看到具体内容，可以通过设置useSSL=false来强制关闭SSL。
使用tshark分析MySQL响应时间直方图，命令示例：tshark -r gege_plantegg.pcap -Y 'mysql.query' -o tcp.calculate_timestamps:true -T fields -e frame.number -e frame.time_epoch -e frame.time_delta_displayed -e mysql.query。
可以使用tcpdump定期抓包并压缩，例如每隔30分钟生成一个包并压缩：nohup sudo tcpdump -i eth0 -t -s 0 tcp and port 3306 -w 'dump_%Y-%m-%d_%H:%M:%S.pcap' -G 1800 -W 48 -Z root -z gzip &。
通过tshark分析网络状态，包括RTT、丢包和重复确认等，命令示例：tshark -r retrans.cap -q -z io,stat,1,...

🔎

在Linux环境中，tcpdump和tshark是两种常用的网络抓包工具。tcpdump适合快速抓取和保存数据包，而tshark则提供更详细的分析功能。用户可以根据需求选择合适的工具，tcpdump适合初学者和快速任务，而tshark则适合需要深入分析的场景。

当MySQL开启SSL时，抓包后无法直接查看SQL内容。用户可以通过设置useSSL=false来强制关闭SSL，从而获取明文数据。这一设置在调试和分析时非常重要，但也可能带来安全风险，因此应谨慎使用。

在分析MySQL的响应时间时，需特别注意一个查询可能会有多个响应。建议只关注第一个响应，以避免误解查询性能。此外，使用tshark生成的直方图可以帮助用户更直观地理解响应时间的分布情况。

❓

可以使用命令：sudo tcpdump -i eth0 port 3306 -w plantegg.cap，将抓到的包存储在plantegg.cap中。

使用命令：sudo tshark -i eth0 -Y 'mysql.command==3' -T fields -e mysql.query，可以抓取详细的SQL语句。

分析MySQL响应时间时，只需关注查询后的第一个响应，使用tshark命令可以提取相关数据。

可以通过在连接属性中设置useSSL=false来强制关闭SSL，从而查看具体的SQL内容。

可以使用命令：tshark -r retrans.cap -q -z io,stat,1,...来分析RTT、丢包和重复确认等网络状态。

可以使用命令：nohup sudo tcpdump -i eth0 -t -s 0 tcp and port 3306 -w 'dump_%Y-%m-%d_%H:%M:%S.pcap' -G 1800 -W 48 -Z root -z gzip &，每隔30分钟生成一个包并压缩。

🏷️