用tcpdump和Wireshark抓代理流量：看请求到底发了什么

代理IP配好了，curl返回200，浏览器也能打开网页——但偶尔有些请求莫名其妙失败。你看到的只是结果，不知道HTTP请求在代理链路上到底经历了什么。tcpdump可以抓取经过网卡的所有数据包，Wireshark可以可视化分析，两个工具配合能看清代理流量的完整路径。

本文覆盖：在VPS或本机用tcpdump抓代理流量、过滤出HTTP请求和响应的关键信息、用Wireshark分析抓包文件、以及通过抓包排查代理连接失败和响应异常。天行IP邀请码blsj支持HTTP和SOCKS5双协议，抓包时可以切换协议对比代理层的差异。

什么时候需要抓包

以下场景中，光看日志和错误码不够，需要抓包才能看到真相：

代理配好后curl有响应但浏览器打不开——可能是浏览器扩展或系统代理设置的问题
HTTPS网站通过代理访问时证书错误——抓包看TLS握手在哪个环节失败
部分请求通过代理正常、部分超时——抓包看超时的请求到底有没有发出去
怀疑代理服务器篡改了响应内容——抓包对比请求和响应的实际数据
多级代理链中定位故障点——在两台机器上同时抓包，对比数据包到达了哪一层

tcpdump基础：抓经过网卡的所有流量

tcpdump是Linux下最常用的命令行抓包工具。最基础的用法：

# 抓取网卡eth0上的所有流量，显示到终端
sudo tcpdump -i eth0

# 查看有哪些网卡
sudo tcpdump -D

不加过滤直接抓会看到海量数据。我们只关心代理相关的流量。假设代理IP是 1.2.3.4，端口是 1080（SOCKS5）或 8080（HTTP代理）：

# 只抓取和代理服务器之间的流量
sudo tcpdump -i eth0 host 1.2.3.4

# 加端口过滤
sudo tcpdump -i eth0 host 1.2.3.4 and port 8080

把抓到的数据包保存为pcap文件，稍后用Wireshark分析：

# 抓取并保存到文件（-w写入文件，-s0抓完整包不截断）
sudo tcpdump -i eth0 host 1.2.3.4 -s0 -w proxy_traffic.pcap

# 限制抓包数量（-c 100表示抓100个包后自动停止）
sudo tcpdump -i eth0 host 1.2.3.4 -s0 -c 100 -w proxy_traffic.pcap

-s0（snaplen=0）很重要——默认tcpdump只抓每个包的前262144字节，对于大响应可能截断。-s0表示抓完整包，确保HTTP头和响应体都是完整的。

抓取HTTP代理流量

HTTP代理使用CONNECT方法建立隧道（对于HTTPS请求）或直接转发HTTP请求。抓包时可以看到完整的HTTP请求和响应：

# 抓取本机到HTTP代理8080端口的流量，只显示HTTP请求
sudo tcpdump -i any -A port 8080 | grep -E "(GET|POST|Host:|HTTP/)"

-A 参数以ASCII格式显示包内容，可以直接看到HTTP头和URL。

更精细的过滤——只看HTTP请求行和响应状态行：

sudo tcpdump -i any -A -s0 port 8080 2>/dev/null | grep -E "^(GET|POST|PUT|DELETE|HTTP/)"

如果只想看通过代理发送的HTTPS CONNECT隧道请求（看代理是否成功建立了到目标443端口的隧道）：

sudo tcpdump -i any -A -s0 port 8080 | grep "CONNECT"

抓取SOCKS5代理流量

SOCKS5代理的握手和请求是二进制协议，无法直接用grep过滤文本。但可以用tcpdump抓完整的包然后用Wireshark解析：

# 抓取本机到SOCKS5代理1080端口的流量
sudo tcpdump -i any port 1080 -s0 -w socks5_traffic.pcap

在Wireshark中打开 socks5_traffic.pcap，Wireshark会自动解析SOCKS5协议，显示握手阶段（认证方法协商）、请求阶段（目标地址和端口）和转发阶段。

如果Wireshark没有自动识别为SOCKS5，右键数据包 → Decode As → 选择SOCKS。

对比：直连和通过代理的区别

排查代理问题的有效方法是同时抓直连和代理两种场景的包，对比差异：

# 抓通过代理的流量
sudo tcpdump -i any host 代理IP -s0 -w via_proxy.pcap &
PID1=$!

# 发起请求
curl -x 代理IP:端口 https://目标网站

# 停止抓包
sudo kill $PID1

# 抓直连的流量
sudo tcpdump -i any host 目标网站IP -s0 -w direct.pcap &
PID2=$!

# 发起直连请求
curl https://目标网站

# 停止抓包
sudo kill $PID2

在Wireshark中并排打开两个pcap文件，对比TCP握手、TLS握手和HTTP请求的时间差。重点关注：

TCP三次握手的时间差（代理是否增加了额外延迟）
TLS ClientHello的差异（浏览器指纹和curl指纹不同是正常的）
HTTP响应头的差异（代理是否添加了Via头、X-Forwarded-For等）

在VPS上抓包分析代理流量

如果你的代理客户端运行在VPS上（比如从VPS通过代理访问外部API），直接在VPS上抓包：

# 抓VPS发出的、目标端口是80或443的流量
sudo tcpdump -i eth0 'tcp and (dst port 80 or dst port 443)' -s0 -w vps_outgoing.pcap

如果VPS上有多个Docker容器，指定容器的网络接口：

# 先看容器用的是哪个网络接口
docker inspect 容器名 | grep -i sandbox

# 用ip link看接口名和veth的对应关系
ip link | grep veth

# 在宿主机上抓某个容器的流量
sudo tcpdump -i vethxxxxxx -s0 -w container_traffic.pcap

Wireshark常用过滤表达式

在Wireshark中打开pcap文件后，用过滤器快速定位：

# 只看HTTP流量
http

# 只看去往某个IP的流量
ip.dst == 1.2.3.4

# 只看TLS握手包
ssl.handshake.type

# 只看TCP重传（网络质量差的信号）
tcp.analysis.retransmission

# 只看DNS查询（看域名解析是否正确）
dns

# 组合：去往代理IP的HTTP流量
ip.dst == 1.2.3.4 and http

# 只看HTTP响应（状态行）
http.response

# 只看包含特定域名的TLS SNI
ssl.handshake.extensions_server_name contains "baidu"

排查三个常见代理问题

问题一：代理连接成功但目标网站无响应

抓包看TCP握手：

sudo tcpdump -i any host 代理IP -s0 -w issue.pcap

在Wireshark中过滤 ip.dst == 代理IP and tcp.flags.syn == 1，检查SYN包是否发出去了，有没有收到SYN-ACK。如果SYN发出去了但没收到SYN-ACK，说明代理服务器端口没有在监听，或者防火墙拦截了。

问题二：HTTPS网站返回证书错误

抓包看TLS握手：

# 过滤TLS ClientHello和ServerHello
ssl.handshake.type == 1 or ssl.handshake.type == 2

在ServerHello中看服务器返回的证书，确认证书对应的域名是否正确。如果是代理服务器做了HTTPS中间人（MITM），证书会是代理服务器自签的而不是目标网站的。

问题三：代理间歇性超时

长时间抓包（比如抓10分钟）然后分析TCP重传模式：

sudo tcpdump -i any host 代理IP -s0 -w long_capture.pcap &
# 等10分钟
sudo kill %1

在Wireshark中点击 Statistics → IO Graph，看流量是否有规律的波谷。再用 tcp.analysis.retransmission 过滤重传包，统计重传率。如果重传率超过2%，说明网络质量不好。

安全提示

抓包会捕获完整的网络流量，包括明文传输的密码、Token和Cookie。处理抓包文件时注意：

不要在共享机器上抓包含敏感信息的流量
分析完及时删除pcap文件
不要上传pcap文件到公共平台
只在你拥有合法权限的机器和网络上抓包

合规声明

本文所述的网络抓包方法仅用于排查合法授权范围内代理服务的连接问题。使用抓包工具时应遵守《网络安全法》《个人信息保护法》《数据安全法》，不得用于截取他人通信内容或从事任何违法违规活动。