简介本资源面向无外网或网络受限环境下的运维与网络管理人员提供 tcpdump 的离线部署方案解决内网服务器无法通过 yum 在线安装抓包工具的问题。压缩包共 3 个文件以 2 个 rpm 安装包和 1 个 sh 安装脚本为主rpm 分别对应 tcpdump 主程序与底层依赖库 libpcap脚本则用于自动化完成部署流程整体约 543KB体积轻便便于内网传输。目前已有 1965 人学习下载说明该方案在受限网络场景中具有较高实用价值。借助该资源读者可在离线机器上快速完成 tcpdump 的安装与依赖配置进而开展网络流量监控、丢包与延迟等故障诊断、异常流量安全审计以及 TCP、UDP、ICMP 等协议分析工作适合具备一定 Linux 基础、需要排查网络问题的技术人员参考使用。1. tcpdump 离线安装内网机器抓包这件事为什么总卡在第一步机房里有台 CentOS 7.9 的业务机网卡流量异常但机器不通外网yum install tcpdump直接报Could not resolve host: mirrorlist.centos.org。这时候你手里只有一台能上网的笔记本和一个 U 盘任务是把 tcpdump 装到那台内网机器上然后抓包定位问题。tcpdump 离线安装要解决的就是这个场景目标机器没有可用的软件源所有依赖必须提前准备好通过 U 盘、内网文件服务器或者跳板机传过去再手动完成安装。它适合运维、安全、后端开发里经常要进内网排障的人也适合那些用 Kylin、统信 UOS 等国产化系统、软件源不完整的环境。核心难点不在 tcpdump 本身而在依赖链的完整性和系统版本匹配——libpcap 版本不对、glibc 太旧、架构搞混都会让安装卡住。下面按我实际操作的顺序把整个流程拆开讲。2. 先搞清楚 tcpdump 到底依赖什么离线包选型与依赖链分析2.1 tcpdump 和 libpcap 的关系以及为什么不能只拷一个 rpmtcpdump 本身只是一个命令行前端真正干活的是 libpcap 这个库。它负责从网卡驱动那里拿数据包做 BPF 过滤再把结果交给 tcpdump 去解析和打印。所以你在离线安装时至少需要两个包tcpdump 和 libpcap。但实际情况往往更复杂——libpcap 可能还依赖glibc、libnl、libdbus等基础库具体取决于编译时的选项和发行版打包策略。在 CentOS 7.9 上用rpm -qpR可以看到 tcpdump 的依赖列表。常见输出里会有libpcap.so.1()(64bit)、libc.so.6(GLIBC_2.14)(64bit)这类。如果目标机器的 glibc 版本低于编译时的版本即使你把 rpm 拷过去rpm -ivh也会报Failed dependencies。这就是为什么不能随便从一台 CentOS 8 的机器上拷 rpm 到 CentOS 7 上用。我一般的做法是先确认目标机器的发行版和版本号然后在同版本的另一台机器上下载对应的 rpm 包或者从发行版的 vault 仓库里找。如果目标机器是 Kylin V10那就去 Kylin 的源里找不要混用 CentOS 的包。架构也要确认uname -m输出x86_64还是aarch64搞错了装上去也跑不起来。2.2 三种离线安装方式的对比rpm、源码编译、静态二进制离线安装 tcpdump 常见有三条路各有适用场景。方式适用场景优点缺点rpm 包安装同发行版、同版本的内网机器快依赖管理清晰依赖链必须完整版本必须匹配源码编译目标机器有 gcc、make或者你能交叉编译灵活可定制需要编译环境离线装 gcc 本身也是麻烦静态二进制目标机器什么都没有只想快速抓包单文件无依赖功能可能受限体积大如果目标机器是 CentOS 7.9我优先用 rpm。因为 CentOS 7 的 rpm 包依赖关系明确只要把 tcpdump 和 libpcap 两个包找对基本就能装上。源码编译适合那种目标机器有开发环境、但软件源不可用的情况比如一些定制化的嵌入式 Linux。静态二进制则是最后的兜底方案比如在 Alpine 或者 BusyBox 环境里直接拷一个静态编译的 tcpdump 过去就能用。提示不管用哪种方式先在能上网的机器上把包下载好用sha256sum记录哈希值传到内网后再校验一次避免传输过程中文件损坏。2.3 确认目标机器信息发行版、架构、glibc 版本在动手下载之前先在目标机器上跑几条命令把关键信息记下来。# 查看发行版和版本号 cat /etc/os-release # 查看系统架构 uname -m # 查看 glibc 版本 ldd --version | head -n 1 # 查看是否已经装了 tcpdump 或 libpcap rpm -qa | grep -E tcpdump|libpcap这几条命令的输出决定了你后面下载哪个版本的包。比如cat /etc/os-release显示CentOS Linux 7 (Core)uname -m显示x86_64ldd --version显示2.17那你就去找 CentOS 7 x86_64 的 tcpdump rpm并且确认它依赖的 glibc 不超过 2.17。如果目标机器是 Kylin V10/etc/os-release里会有Kylin Linux Advanced Server字样这时候去 Kylin 的官方源或者安装镜像里找对应的 rpm。不要用 CentOS 的包硬装即使能装上也可能因为库路径差异导致运行时报错。3. 用 rpm 方式离线安装 tcpdump从下载到验证的完整命令3.1 在联网机器上下载 tcpdump 和 libpcap 的 rpm 包假设你有一台能上网的 CentOS 7.9 机器可以用yumdownloader或者repotrack把包和依赖一起下载下来。yumdownloader在yum-utils包里如果没装先yum install -y yum-utils。# 创建下载目录 mkdir -p /tmp/tcpdump-offline cd /tmp/tcpdump-offline # 下载 tcpdump 和 libpcap 的 rpm 包 yumdownloader --resolve --destdir/tmp/tcpdump-offline tcpdump libpcap # 查看下载了哪些文件 ls -lh /tmp/tcpdump-offline/--resolve参数会递归下载所有依赖--destdir指定下载目录。执行完之后目录里通常会有tcpdump-4.9.2-4.el7.x86_64.rpm和libpcap-1.5.3-12.el7.x86_64.rpm这两个文件。如果依赖更多可能还会有libnl、libdbus之类的包。注意yumdownloader下载的包版本取决于你当前机器的源。如果你当前机器是 CentOS 7.9下载的就是 7.9 对应的版本。如果目标机器是 7.6最好在 7.6 的机器上下载或者确认 7.9 的包在 7.6 上能装。3.2 把 rpm 包传到内网机器并校验完整性把/tmp/tcpdump-offline目录打包通过 U 盘或者内网文件服务器传到目标机器。传完之后先校验文件完整性。# 在联网机器上生成校验值 cd /tmp/tcpdump-offline sha256sum *.rpm checksums.txt cat checksums.txt # 把 checksums.txt 和 rpm 包一起传到目标机器 # 在目标机器上校验 sha256sum -c checksums.txt如果输出OK说明文件传输没问题。如果报FAILED说明文件在传输过程中损坏了需要重新传。这一步看起来简单但实际排障时经常遇到因为 U 盘文件系统问题导致 rpm 包损坏的情况校验一下能省很多时间。3.3 用 rpm -ivh 安装并处理依赖顺序在目标机器上进入存放 rpm 包的目录执行安装。注意安装顺序先装 libpcap再装 tcpdump。# 先安装 libpcap rpm -ivh libpcap-1.5.3-12.el7.x86_64.rpm # 再安装 tcpdump rpm -ivh tcpdump-4.9.2-4.el7.x86_64.rpm # 如果提示依赖错误可以用 --nodeps 跳过但不推荐 # rpm -ivh --nodeps tcpdump-4.9.2-4.el7.x86_64.rpm-ivh是install、verbose、hash的组合安装时会显示进度条。如果 libpcap 已经装了rpm -ivh会提示package libpcap-1.5.3-12.el7.x86_64 is already installed这时候可以加--replacepkgs强制重装或者直接跳过。如果安装 tcpdump 时报Failed dependencies: libpcap.so.1()(64bit) is needed说明 libpcap 没装成功或者装到了非标准路径。用ldconfig -p | grep libpcap确认库文件是否存在。3.4 验证安装tcpdump -D 和 tcpdump -v安装完成后跑两条命令验证。# 查看 tcpdump 版本和支持的网卡列表 tcpdump -D # 查看详细版本信息 tcpdump -vtcpdump -D会列出所有可用的网卡比如1.eth0、2.any。如果输出为空或者报No such device说明 tcpdump 没找到网卡可能是权限问题或者 libpcap 没装好。tcpdump -v会显示版本号和编译选项确认版本符合预期。如果这两条命令都正常说明 tcpdump 已经可以在离线环境下使用了。接下来可以试着抓几个包看看。# 抓取 eth0 上的 10 个包不解析域名 tcpdump -i eth0 -c 10 -nn-i eth0指定网卡-c 10抓 10 个包后退出-nn不解析主机名和端口名避免 DNS 查询拖慢速度。如果能看到包的行输出说明整个安装流程走通了。4. 源码编译和静态二进制当 rpm 走不通时的备选方案4.1 源码编译 tcpdump 和 libpcap 的步骤有些内网机器不是 CentOS或者 rpm 依赖实在凑不齐这时候可以考虑源码编译。前提是目标机器有 gcc、make、flex、bison 这些编译工具。如果连编译工具都没有那就得先离线装 gcc那又是另一个依赖链的坑。源码编译的步骤不复杂关键是先把 libpcap 编好再编 tcpdump。# 下载源码包在联网机器上 wget https://www.tcpdump.org/release/libpcap-1.10.4.tar.gz wget https://www.tcpdump.org/release/tcpdump-4.99.4.tar.gz # 传到目标机器后解压 tar -xzf libpcap-1.10.4.tar.gz tar -xzf tcpdump-4.99.4.tar.gz # 先编译安装 libpcap cd libpcap-1.10.4 ./configure --prefix/usr/local make make install # 再编译安装 tcpdump cd ../tcpdump-4.99.4 ./configure --prefix/usr/local make make install # 更新动态链接库缓存 ldconfig--prefix/usr/local指定安装路径这样不会覆盖系统自带的库。编译完之后/usr/local/sbin/tcpdump就是可执行文件。如果运行时提示找不到libpcap.so.1需要把/usr/local/lib加到/etc/ld.so.conf里然后跑ldconfig。提示源码编译的 tcpdump 版本通常比系统自带的新支持更多的协议解析。但也要注意新版本可能依赖更新的 glibc如果目标机器 glibc 太旧编译会失败。4.2 静态编译 tcpdump 的思路和限制静态编译就是把 libpcap 和 tcpdump 一起编成一个不依赖系统库的可执行文件。这样拷到任何同架构的 Linux 上都能跑不需要装任何依赖。但静态编译有几个限制一是需要静态版的 libc很多发行版默认不提供二是编译出来的文件比较大通常几 MB三是某些功能可能受限比如依赖动态加载的插件。如果确实需要静态二进制可以用 Alpine Linux 的 musl libc 来编译或者用gcc -static选项。但这个过程比较折腾我一般只在目标机器实在没有任何包管理工具、也没有编译环境时才用。4.3 用 BusyBox 或 Alpine 环境做交叉编译的注意事项有些嵌入式设备跑的是 BusyBox连 bash 都没有。这种情况下可以在 Alpine 容器里编译静态 tcpdump然后把二进制拷过去。Alpine 用的是 musl libc编译出来的静态二进制兼容性比较好。# 在 Alpine 容器里编译静态 tcpdump apk add build-base libpcap-dev wget https://www.tcpdump.org/release/tcpdump-4.99.4.tar.gz tar -xzf tcpdump-4.99.4.tar.gz cd tcpdump-4.99.4 ./configure LDFLAGS-static make编译出来的tcpdump可以用file命令确认是不是静态链接。如果是statically linked就可以直接拷到目标机器上运行。但要注意静态编译的 tcpdump 可能不支持某些依赖动态库的功能比如某些加密协议的解密。5. 离线安装 tcpdump 的避坑指南5 个血泪教训5.1 现象rpm -ivh 报 Failed dependencies: libpcap.so.1 is needed原因libpcap 没装或者装到了非标准路径rpm 找不到。有时候是因为先装了 tcpdump后装 libpcap但 rpm 的依赖检查是在安装前做的所以会报错。解决先装 libpcap再装 tcpdump。如果 libpcap 已经装了但还是报错用ldconfig -p | grep libpcap确认库文件在不在标准路径。如果不在把库路径加到/etc/ld.so.conf里跑ldconfig刷新缓存。5.2 现象tcpdump -D 输出为空或者报 No such device原因可能是权限不够普通用户看不到网卡列表也可能是 libpcap 没装好或者内核不支持 AF_PACKET。解决用 root 用户跑tcpdump -D。如果还是空检查ls /sys/class/net/看看网卡是否存在。如果网卡存在但 tcpdump 看不到可能是 libpcap 编译时没启用--enable-af-packet需要重新编译。5.3 现象从 CentOS 8 拷的 rpm 到 CentOS 7 上装报 glibc 版本不够原因CentOS 8 的 glibc 是 2.28CentOS 7 是 2.17。rpm 包在编译时链接了更高版本的 glibc 符号装到低版本系统上就会报GLIBC_2.28 not found。解决不要跨大版本拷 rpm。在目标机器同版本的系统上下载 rpm或者从发行版的 vault 仓库里找对应版本的包。如果实在找不到只能源码编译并且确保编译时的 glibc 版本不高于目标机器。5.4 现象源码编译时 ./configure 报 cannot find flex 或 bison原因编译 tcpdump 需要 flex 和 bison 来生成语法解析器。如果目标机器没装这两个工具./configure会失败。解决在联网机器上下载 flex 和 bison 的 rpm一起传到内网安装。或者用--disable-flex之类的选项跳过但 tcpdump 的过滤表达式解析依赖 flex跳过之后功能会受限。我一般还是老老实实把 flex 和 bison 装上。5.5 现象静态编译的 tcpdump 拷到目标机器上跑报 cannot execute binary file原因架构不匹配。比如在 x86_64 上编译的二进制拷到了 aarch64 的机器上。或者编译时用了 musl libc目标机器是 glibc虽然静态链接了但某些系统调用可能不兼容。解决用uname -m确认目标机器架构在相同架构的机器上编译。如果是 musl 和 glibc 的差异尽量在目标机器同款 libc 的环境里编译。实在不行就用目标机器上的编译工具直接编。6. 让离线 tcpdump 真正好用抓包参数调优和验证技巧装好 tcpdump 只是第一步真正排障时怎么抓、抓什么、怎么分析才是决定效率的地方。我一般会在离线机器上先跑一个最小验证确认抓包链路是通的然后再根据具体问题调整参数。最小验证命令是tcpdump -i any -c 5 -nn。-i any抓所有网卡-c 5抓 5 个包就停-nn不解析域名和端口。如果能看到包说明抓包没问题。如果看不到先检查网卡是不是 up 状态ip link show看一下。抓包时最常用的几个参数组合参数作用适用场景-i eth0指定网卡只关心某块网卡的流量-nn不解析域名和端口避免 DNS 查询拖慢抓包速度-c 100抓 100 个包后退出快速采样避免刷屏-w file.pcap写入文件后续用 Wireshark 分析-s 0抓完整包需要看 payload 时-A以 ASCII 显示 payload看 HTTP 请求内容-X以 hex 和 ASCII 显示看二进制协议如果抓包时发现丢包严重可以加-B 4096增大缓冲区或者用-w直接写文件减少终端输出带来的开销。离线机器上通常没有 Wireshark所以抓完之后把 pcap 文件拷到有图形界面的机器上分析是更常见的做法。还有一个技巧是用tcpdump -r file.pcap回读抓包文件配合-nn和过滤表达式可以在没有图形界面的情况下快速过滤。比如tcpdump -r file.pcap -nn tcp port 80只看 80 端口的 TCP 包。这个命令在离线环境里特别实用因为不需要额外装任何工具。我自己的习惯是每次去内网排障U 盘里除了 tcpdump 的 rpm 包还会带一个静态编译的 tcpdump 二进制以及一个已经装好 Wireshark 的便携版。这样不管目标机器是什么状态都能快速把包抓下来。离线安装这件事准备工作做得越足现场就越不容易翻车。希望帮到你。本文还有配套的精品资源点击获取
