如何用tcpdump过滤gRPC传输中的非SYN/ACK/FIN数据包

首先，你的gRPC服务端与客户端都在本地运行，必须指定抓取环回接口lo，否则tcpdump默认抓取物理网卡流量，无法正确捕获本地通信包，这也是你之前过滤表达式无输出的核心原因之一。

正确过滤命令（移除SYN/ACK/FIN等控制包） #

以下几种方式均可实现只保留带数据的TCP包：

1. 排除控制标志包+纯ACK包

tcpdump -i lo tcp port 50051 and not tcp[tcpflags] & (tcp-syn|tcp-fin|tcp-rst) != 0 and tcp[13] != 0x10

• tcp[tcpflags] & (tcp-syn|tcp-fin|tcp-rst) != 0：匹配带有SYN、FIN、RST任一标志的包，用not排除这类控制包
• tcp[13] != 0x10：排除纯ACK包（0x10是ACK标志单独存在的十六进制值）

2. 直接过滤带 payload 的包
   更简洁的写法，通过判断TCP包长度大于头部最小长度（默认20字节），确认存在数据：

tcpdump -i lo tcp port 50051 and tcp len > 20

或者通过TCP头部偏移后的内容存在来判断：

tcpdump -i lo tcp port 50051 and tcp[20:]

你之前的过滤表达式无效的原因 #

你使用的tcp port 50051 and tcp[tcpflags] & (tcp-syn|tcp-ack) != 0无法匹配到包，主要是两个问题：

• 未指定-i lo，抓不到本地环回的流量
• 本地TCP握手/断开的包多为组合标志位（比如SYN+ACK、FIN+ACK），部分tcpdump版本对这类组合标志位的匹配逻辑需要更精确的写法，但核心问题还是未指定环回接口。

内容的提问来源于stack exchange，提问作者diviquery