⑴监视指定网络的数据包
⑵打印本地主机与Berkeley网络上的主机之间的所有通信数据包（nt： ucb-ether， 此处可理解为‘Berkeley网络’的网络地址，此表达式最原始的含义可表达为： 打印网络地址为ucb-ether的所有数据包
⑶tcpdump ucb-ether
⑷打印所有通过网关snup的ftp数据包（注意， 表达式被单引号括起来了， 这可以防止shell对其中的括号进行错误解析
⑸tcpdump ‘gateway snup and （port ftp or ftp-data’
⑹打印所有源地址或目标地址是本地主机的IP数据包
⑺（如果本地网络通过网关连到了另一网络， 则另一网络并不能算作本地网络。（nt： 此句翻译曲折，需补充.local 实际使用时要真正替换成本地网络的名字
⑻tcpdump ip and not local
⑼监视指定协议的数据包
⑽打印TCP会话中的的开始和结束数据包， 并且数据包的源或目的不是本地网络上的主机。（nt： local， 实际使用时要真正替换成本地网络的名字
⑾tcpdump ‘tcp［tcpflags］ & （tcp-syn|tcp-fin ！= and not src and dst local’
⑿打印所有源或目的端口是， 网络层协议为IPv， 并且含有数据，而不是SYN，FIN以及ACK-only等不含数据的数据包。（ipv的版本的表达式可做练习
⒀tcpdump ‘tcp port and （（（ip［:］ - （（ip［］&xf《《 - （（tcp［］&xf》》 ！= ’
⒁（nt： 可理解为， ip［:］表示整个ip数据包的长度， （ip［］&xf《《表示ip数据包包头的长度（ip［］&xf代表包中的IHL域， 而此域的单位为bit， 要换算
⒂成字节数需要乘以，即左移.（tcp［］&xf》》 表示tcp头的长度， 此域的单位也是bit，换算成比特数为 （（tcp［］&xf 》》 《《２，
⒃即 （（tcp［］&xf》》。（（ip［:］ - （（ip［］&xf《《 - （（tcp［］&xf》》 ！= 表示： 整个ip数据包的长度减去ip头的长度，再减去
⒄tcp头的长度不为， 这就意味着， ip数据包中确实是有数据。对于ipv版本只需考虑ipv头中的‘Payload Length’ 与 ‘tcp头的长度’的差值， 并且其中表达方式‘ip［］’需换成‘ip［］’。
⒅打印长度超过字节， 并且网关地址是snup的IP数据包
⒆tcpdump ‘gateway snup and ip［:］ 》 ’
⒇打印所有IP层广播或多播的数据包， 但不是物理以太网层的广播或多播数据报
⒈tcpdump ‘ether［］ & = and ip［］ 》= ’
⒉打印除‘echo request’或者‘echo reply’类型以外的ICMP数据包（ 比如，需要打印所有非ping 程序产生的数据包时可用到此表达式 。
⒊（nt： ‘echo reuqest’ 与 ‘echo reply’ 这两种类型的ICMP数据包通常由ping程序产生
⒋tcpdump ‘icmp［icmptype］ ！= icmp-echo and icmp［icmptype］ ！= icmp-echoreply’。
⒌首先我们注意一下，基本上tcpdump总的的输出格式为：系统时间 来源主机。端口 》 目标主机。端口 数据包参数
⒍tcpdump 的输出格式与协议有关。以下简要描述了大部分常用的格式及相关例子。
⒎对于FDDI网络， ‘-e’ 使tcpdump打印出指定数据包的‘frame control’ 域， 源和目的地址， 以及包的长度。（frame control域
⒏控制对包中其他域的解析。 一般的包（比如那些IP datagrams都是带有‘async’（异步标志的数据包，并且有取值到的优先级;
⒐比如 ‘async’就代表此包为异步数据包，并且优先级别为. 通常认为，这些包们会内含一个 LLC包（逻辑链路控制包; 这时，如果此包
⒑不是一个ISO datagram或所谓的SNAP包，其LLC头部将会被打印（nt：应该是指此包内含的 LLC包的包头。
⒒对于Token Ring网络（令牌环网络， ‘-e’ 使tcpdump打印出指定数据包的‘frame control’和‘aess control’域， 以及源和目的地址，
⒓外加包的长度。 与FDDI网络类似， 此数据包通常内含LLC数据包。 不管 是否有‘-e’选项。对于此网络上的‘source-routed’类型数据包（nt：
⒔意译为：源地址被追踪的数据包，具体含义未知，需补充， 其包的源路由信息总会被打印。
⒕对于.网络（WLAN，即wireless local area work， ‘-e’ 使tcpdump打印出指定数据包的‘frame control域，
⒖包头中包含的所有地址， 以及包的长度。与FDDI网络类似， 此数据包通常内含LLC数据包。
⒗（注意： 以下的描述会假设你熟悉SLIP压缩算法 （nt:SLIP为Serial Line Inter Protocol.， 这个算法可以在
⒘RFC-中找到相关的蛛丝马迹。
⒙对于SLIP网络（nt:SLIP links， 可理解为一个网络， 即通过串行线路建立的连接， 而一个简单的连接也可看成一个网络，
⒚数据包的’direction indicator‘（’方向指示标志‘（“I”表示入， “O”表示出， 类型以及压缩信息将会被打印。 包类型会被首先打印。
⒛类型分为ip， utcp以及ctcp（nt：未知， 需补充。 对于ip包，连接信息将不被打印（nt:SLIP连接上，ip包的连接信息可能无用或没有定义。
①reconfirm。对于TCP数据包， 连接标识紧接着类型表示被打印。 如果此包被压缩， 其被编码过的头部将被打印。
②此时对于特殊的压缩包，会如下显示：
③*S+n 或者 *SA+n， 其中n代表包的（顺序号或（顺序号和应答号增加或减少的数目（nt | rt:S，SA拗口， 需再译。
④对于非特殊的压缩包，个或更多的’改变‘将会被打印。’改变‘被打印时格式如下：
⑤’标志‘+/-/=n 包数据的长度 压缩的头部长度。
⑥其中’标志‘可以取以下值：
⑦U（代表紧急指针， W（指缓冲窗口， A（应答， S（序列号， I（包ID，而增量表达’=n‘表示被赋予新的值， +/-表示增加或减少。
⑧比如， 以下显示了对一个外发压缩TCP数据包的打印， 这个数据包隐含一个连接标识（connection identifier; 应答号增加了，
⑨顺序号增加了， 包ID号增加了; 包数据长度为字节（octect， 压缩头部为字节。（nt：如此看来这应该不是一个特殊的压缩数据包。
⑩ARP/RARP 数据包
Ⅰtcpdump对Arp/rarp包的输出信息中会包含请求类型及该请求对应的参数。 显示格式简洁明了。 以下是从主机rtsg到主机csam的’rlogin‘
Ⅱ（远程登录过程开始阶段的数据包样例：
Ⅲarp who-has csam tell rtsg
Ⅳarp reply csam is-at CSAM
Ⅴ第一行表示：rtsg发送了一个arp数据包（nt：向全网段发送，arp数据包以询问csam的以太网地址
ⅥCsam（nt：可从下文看出来， 是Csam以她自己的以太网地址做了回应（在这个例子中， 以太网地址以大写的名字标识， 而inter
Ⅶ地址（即ip地址以全部的小写名字标识。
Ⅷ如果使用tcpdump -n， 可以清晰看到以太网以及ip地址而不是名字标识：
Ⅸarp who-has ... tell ...
Ⅹarp reply ... is-at :::::c
㈠如果我们使用tcpdump -e， 则可以清晰的看到第一个数据包是全网广播的， 而第二个数据包是点对点的：
㈡RTSG Broadcast ： arp who-has csam tell rtsg
㈢CSAM RTSG ： arp reply csam is-at CSAM
㈣第一个数据包表明：以arp包的源以太地址是RTSG， 目标地址是全以太网段， type域的值为进制（表示ETHER_ARP（nt:arp包的类型标识，
㈤包的总长度为字节。