maintained/tcpdump

tcpdump Docker容器

镜像概述和主要用途

该Docker镜像提供了一个简单的tcpdump运行环境，主要用于网络流量捕获。镜像会将抓包数据写入/data卷，并自动管理文件存储：最多保留10个1GB大小的抓包文件，当文件数量达到上限时自动覆盖最旧的文件。适用于需要便捷进行网络流量分析的场景。

核心功能和特性

• 自动文件管理：默认最多保留10个1GB抓包文件，自动循环覆盖最旧文件
• 主机网络支持：通过主机网络模式(--net=host)可捕获主机网络接口流量
• 灵活配置：支持自定义tcpdump过滤规则、网络接口等参数
• 数据持久化：可通过卷挂载将抓包文件存储到主机本地

使用场景和适用范围

• 主机网络接口流量监控与分析
• 特定网络协议或端口的流量捕获
• 需要临时抓包且不想在主机直接安装tcpdump的场景
• 远程服务器网络问题诊断与实时流量分析

使用方法和配置说明

基本使用

通过主机网络模式运行容器，捕获默认接口流量：

bash
docker run --net=host maintained/tcpdump

指定过滤规则或网络接口

可直接传递tcpdump参数来自定义抓包规则（会覆盖默认参数）：

bash
# 捕获eth2接口上80端口的流量
docker run --net=host maintained/tcpdump -i eth2 port 80

挂载本地卷存储抓包文件

将主机目录挂载到容器/data卷，实现抓包文件本地存储：

bash
# 将当前目录挂载到/data，捕获所有接口的ICMP流量并保存到本地dump.pcap
docker run --net=host -v $PWD:/data maintained/tcpdump -i any -w /data/dump.pcap "icmp"

远程实时分析（结合Wireshark）

通过SSH远程执行容器抓包命令，并将流量实时传输到本地Wireshark分析：

bash
# 远程主机抓包并排除22端口流量，实时传输到本地Wireshark
ssh root@remote-host "docker run --rm --net=host maintained/tcpdump -i any -w - not port 22 2>/dev/null" | wireshark -k -i -

说明：-w -表示将抓包数据输出到标准输出，2>/dev/null用于屏蔽错误输出，--rm确保容器退出后自动清理。