从实时tcpdump捕获中提取去重排序纯IP的技术需求

我来帮你调整命令，解决输出带端口的问题，同时实现IP去重和排序的需求。这里有几个实用的方案，你可以根据场景选择：

方案一：实时捕获+即时去重排序 #

直接在命令链里完成所有操作，一步到位生成最终的唯一排序IP文件：

sudo tcpdump -nn -q ip -l | awk -F '[ .]' '{print $2"."$3"."$4"."$5; print $8"."$9"."$10"."$11}' | sort -u > unique_sorted_ips.txt

逐部分解释： #

• tcpdump -nn -q ip -l：保留你原本的捕获参数，-l启用行缓冲，确保实时输出能被后续命令及时处理
• awk -F '[ .]'：把分隔符设置为空格或点，这样就能把带端口的IP（比如192.168.0.100.50771）拆分成单个字段
  • print $2"."$3"."$4"."$5：提取源IP——tcpdump输出的第二个字段是srcip.srcport，拆分后前四个字段就是纯IP地址
  • print $8"."$9"."$10"."$11：提取目的IP——第四个字段是dstip.dstport，对应拆分后的第8到11个字段就是纯目的IP
• sort -u：-u参数会自动剔除重复的IP，同时默认按字典序排序（对于IPv4地址来说，这个排序逻辑是直观合理的）
• > unique_sorted_ips.txt：把最终处理好的结果写入目标文件

方案二：先捕获所有IP再处理（适合需保留原始捕获数据的场景） #

如果需要先保存所有捕获到的IP（不做去重），之后再生成唯一排序文件，可以分两步操作：

1. 先捕获并提取所有纯IP到临时文件：

sudo tcpdump -nn -q ip -l | awk -F '[ .]' '{print $2"."$3"."$4"."$5; print $8"."$9"."$10"."$11}' >> all_captured_ips.txt

2. 对临时文件进行去重排序，生成最终文件：

sort -u all_captured_ips.txt > unique_sorted_ips.txt

小提示： #

如果你的tcpdump版本输出格式略有差异，可以先单独运行tcpdump -nn -q ip抓几行输出，确认字段位置。比如输出行是IP 192.168.0.100.50771 > 192.168.0.1.80: tcp 0，那么用空格分割后的字段2是源IP+端口，字段4是目的IP+端口，用[ .]拆分后的字段对应关系就和上面的命令一致。

内容的提问来源于stack exchange，提问作者Carlos