如何编写捕获特定接口（eth0）所有rx数据包的Pcap过滤规则？

嘿，我来帮你搞定这个需求。其实要注意的是，Pcap过滤表达式本身并不直接区分数据包的接收/发送方向，不过我们可以结合抓包工具（比如最常用的tcpdump）的参数来精准实现你的需求。

具体实现方式 #

如果你用的是tcpdump，直接运行下面的命令就能捕获eth0接口上所有的接收（rx）数据包：

tcpdump -i eth0 -Q incoming

• -i eth0：指定要监听的网络接口为eth0
• -Q incoming：明确只捕获该接口上接收的数据包（如果要抓发送的数据包可以用outgoing，默认是抓双向）

另外，有些旧版本的tcpdump可能不支持-Q参数，这时候可以用--direction参数来替代，效果完全一致：

tcpdump -i eth0 --direction=in

关于Wireshark等图形化工具的说明 #

如果你是在Wireshark这类工具里操作，不需要写复杂的过滤表达式，只需要在捕获设置里：

• 选择eth0作为监听接口
• 在捕获选项中找到「方向」设置，勾选「仅接收」即可

内容的提问来源于stack exchange，提问作者Chinna