Tcpdump使用表达式捕获vlan报文随记

来自三线的随记
Admin讨论 | 贡献2020年7月27日 (一) 16:24的版本
(差异) ←上一版本 | 最后版本 (差异) | 下一版本→ (差异)
tcpdump -i ens224 ! '( vlan 110 or vlan 1150)' -nvv -e
[root@node-1 ~]# tcpdump --version
tcpdump version 4.9.2
libpcap version 1.9.0-PRE-GIT (with TPACKET_V3)
OpenSSL 1.1.1c FIPS  28 May 2019


在使用tcpdump捕获vlan报文的时候,如果想过滤多个vlan的报文

似乎怎样都无法生效

tcpdump -vv -i eth1 '( vlan and ( ether[14:2] & 0xfff == 1000 or ether[14:2] & 0xfff == 501 ) )


相关现象,同一个常规arp请求,不同表达式过滤捕获结果


怀疑跟libpcap有关

怀疑相关现象:Arping在trunk网卡指定vlan tag测试