tcpdump是否支持按特定SPI值过滤ESP（协议50）流量？

当然可以！tcpdump完全支持针对ESP（协议号50）流量按特定SPI值进行过滤，你观察到它能显示SPI值的推测是完全正确的～

具体过滤方法 #

tcpdump的过滤表达式可以直接识别ESP头部的SPI字段，你只需要在过滤规则中指定esp spi加上目标SPI值即可。结合协议号过滤的话，命令格式如下：

tcpdump -i <你的网络接口名> proto 50 and esp spi 0xd8f42b8

这里的0xd8f42b8就是你示例数据包中的SPI值（可以去掉0x前缀直接写十六进制数值，保留前缀tcpdump也能识别）。如果需要过滤多个SPI值，用逻辑或连接即可：

tcpdump -i <你的网络接口名> proto 50 and (esp spi 0xd8f42b8 or esp spi 0x12345678)

补充说明 #

当tcpdump捕获到ESP数据包时，它会解析并显示SPI、序列号等字段，这也侧面说明它能识别这些字段用于过滤。你可以根据实际需求调整接口、输出格式等参数，比如加上-nn避免域名解析，让输出更简洁。

内容的提问来源于stack exchange，提问作者john