Tcpdump使用表达式捕获vlan报文随记

来自三线的随记
Admin（讨论 | 贡献）2020年7月27日 (一) 16:24的版本
(差异) ←上一版本 | 最后版本 (差异) | 下一版本→ (差异)
tcpdump -i ens224 ! '( vlan 110 or vlan 1150)' -nvv -e

[root@node-1 ~]# tcpdump --version
tcpdump version 4.9.2
libpcap version 1.9.0-PRE-GIT (with TPACKET_V3)
OpenSSL 1.1.1c FIPS  28 May 2019


在使用tcpdump捕获vlan报文的时候，如果想过滤多个vlan的报文

似乎怎样都无法生效 

tcpdump -vv -i eth1 '( vlan and ( ether[14:2] & 0xfff == 1000 or ether[14:2] & 0xfff == 501 ) )


相关现象,同一个常规arp请求，不同表达式过滤捕获结果


怀疑跟libpcap有关

怀疑相关现象：Arping在trunk网卡指定vlan tag测试

取自“https://wiki.sanxian.tech/index.php?title=Tcpdump使用表达式捕获vlan报文随记&oldid=838”