tcpdump中ip host与ip and host抓包过滤命令的差异

首先明确tcpdump BPF抓包过滤规则的基础语法约定：多个相邻的匹配原语（即不可拆分的最小匹配条件）之间如果没有显式标注逻辑运算符，默认按照逻辑与（and）关系处理。

两条命令的过滤逻辑拆解 #

• 第一条命令 tcpdump ip host google.com
  过滤表达式由ip（匹配IP协议报文）、host google.com（匹配源/目的IP为google.com解析地址的报文）两个相邻原语组成，中间没有显式逻辑连接符，tcpdump解析时会自动在两个原语之间补全and逻辑。
• 第二条命令 tcpdump ip and host google.com
  过滤表达式显式用and连接ip和host google.com两个原语，逻辑上要求同时满足两个匹配条件。

实际匹配效果说明 #

你测试时感觉两条命令执行效果几乎一致是完全正常的：在这两个命令的场景下，二者最终被编译生成的BPF过滤字节码完全相同，抓包时的匹配行为没有任何差别。
二者唯一的区别只是写法风格不同：第一条是省略默认逻辑符的简写形式，第二条是显式标注逻辑关系的完整写法。

注意：只有当过滤表达式包含多个不同优先级的逻辑运算符（比如not、or）时，省略and的简写写法可能因为运算符优先级规则产生和预期不符的解析结果，在当前两个条件的极简场景下不存在这个问题。

内容的提问来源于stack exchange，提问作者testermaster