tcpdump无法捕获Windows到WSL2的本地请求流量，如何解决？

技术原理 #

WSL2基于轻量级Hyper-V虚拟机实现，拥有独立的网络协议栈。当Windows端通过http://localhost:8081访问WSL2内的服务时，流量并未经过WSL2的虚拟网卡（如eth0）：Windows系统内置的localhost端口转发机制会直接将请求映射到WSL2虚拟机内的目标进程，数据包在Windows内核层面完成转发，完全绕过了WSL2的网络栈，因此tcpdump无法捕获这类跨层转发的流量。

而当客户端和服务端均在WSL2内时，流量完全在WSL2的网络栈内部流转，tcpdump可以正常监听网卡或loopback接口获取数据包。

解决方案 #

1. 使用WSL2实际IP访问并捕获网卡流量 #

• 在WSL2终端执行hostname -I，获取虚拟机的实际IP地址（通常为172.x.x.x或192.168.x.x网段）
• Windows端Postman访问http://<WSL2_IP>:8081，此时流量会通过WSL2的虚拟网卡进入其网络栈，执行以下命令即可捕获：

  sudo tcpdump -i eth0 -n port 8081
  

2. 监听loopback接口的本地转发流量 #

端口转发最终会映射到WSL2内部的loopback端口，可尝试监听lo接口并指定流量方向：

• 先通过ss -tulnp | grep 8081找到HTTP服务的进程ID（PID）
• 执行tcpdump命令捕获loopback接口的双向流量：

  sudo tcpdump -i lo -n port 8081 -Q inout
  

3. 用eBPF工具直接追踪进程网络调用 #

若上述方法无法满足需求，可使用eBPF工具绕过网络栈限制，直接从系统调用层面捕获进程的流量：

• 安装bpftrace：sudo apt update && sudo apt install bpftrace -y
• 替换<YOUR_PID>为HTTP服务的PID，执行以下命令追踪进程接收的数据：

  sudo bpftrace -e 'tracepoint:syscalls:sys_enter_recvfrom { if (pid == <YOUR_PID>) { printf("Received data:\n%s\n", args->msg); } }'
  

内容的提问来源于stack exchange，提问作者Chris Bao