tcpdump 必须使用 root 的身份执行
[root@linux ~]# tcpdump [-nn] [-i 接口] [-w 储存档名] [-c 次数] [-Ae][-qX] [-r 档案] [所欲撷取的数据内容] 参数：
-nn：直接以 IP 及 port number 显示，而非主机名与服务名称
-i ：后面接要『监听』的网络接口，例如 eth0, lo, ppp0 等等的界面；
-w ：如果你要将监听所得的封包数据储存下来，用这个参数就对了！后面接档名 -c ：监听的封包数，如果没有这个参数， tcpdump 会持续不断的监听， 直到使用者输入 [ctrl]-c 为止。
-A ：封包的内容以 ASCII 显示，通常用来捉取 WWW 的网页封包资料。 -e ：使用资料连接层 (OSI 第二层) 的 MAC 封包数据来显示； -q ：仅列出较为简短的封包信息，每一行的内容比较精简
-X ：可以列出十六进制 (hex) 以及 ASCII 的封包内容，对于监听封包内容很有用 -r ：从后面接的档案将封包数据读出来。那个『档案』是已经存在的档案， 并且这个『档案』是由 -w 所制作出来的。
所欲撷取的数据内容：我们可以专门针对某些通讯协议或者是 IP 来源进行封包撷取， 那就可以简化输出的结果，并取得最有用的信息。常见的表示方法有： 'host foo', 'host 127.0.0.1' ：针对单部主机来进行封包撷取 'net 192.168' ：针对某个网域来进行封包的撷取；
'src host 127.0.0.1' 'dst net 192.168'：同时加上来源(src)或目标(dst)限制 'tcp port 21'：还可以针对通讯协议侦测，如 tcp, udp, arp, ether 等 还可以利用 and 与 or 来进行封包数据的整合显示呢
只监听80端口
[root@linux ~]# tcpdump -nn port 80
只监听一台主机
[root@linux ~]# tcpdump –nn host 121.9.240.130
监听端口
#tcpdump port 9995
3.2 指定保存抓包结果的文件
tcpdump -i eth2 –w mstu2ether2.cap
3.3 抓完整的RTP包
tcpdump -i eth2 –w mstu2ether2.cap –s 0
“-s 0”指定抓的是完整的数据包，否则以64字节截断。对于MSTU上的RTP抓包，这个参数会保留所有TS数据包，故重要。