在做网站开发或者排查线上服务异常时，经常会遇到请求数据不对、接口返回异常的问题。这时候，能直接“看到”网络传输中的数据就特别关键。云服务器抓包，就是帮你把网络里的“话”听清楚的手段。
为什么要在云服务器上抓包？
和本地电脑不同，很多应用部署在云服务器上，比如阿里云、腾讯云的ECS实例。用户访问你的网站，流量先到服务器，处理后再返回。如果问题出在网络通信环节，只看日志可能不够。抓包能让你直观看到HTTP请求头、参数、响应内容，甚至发现被篡改的数据包。
常用工具：tcpdump 最实用
大多数云服务器是Linux系统，tcpdump 是最常用的命令行抓包工具。它轻量、无需图形界面，适合远程操作。
先确认是否安装：
which tcpdump如果没有，用包管理器安装：
sudo apt-get install tcpdump <!-- Debian/Ubuntu -->
sudo yum install tcpdump <!-- CentOS/RHEL -->开始抓取80端口的HTTP流量：
sudo tcpdump -i any -s 0 -w http.pcap port 80说明一下参数：
-i any 表示监听所有网卡，
-s 0 表示抓取完整数据包（不截断），
-w 指定保存文件，
port 80 只捕获80端口的数据。
运行后，等几秒或等复现问题后，按 Ctrl+C 停止。会生成一个 http.pcap 文件。
用Wireshark分析抓包文件
tcpdump 抓的是二进制文件，不方便直接读。可以把 .pcap 文件下载到本地，用 Wireshark 打开。Wireshark 图形化强，能解析HTTP、DNS、TCP等协议，点开就能看到请求URL、Header、POST数据。
比如你怀疑某个API调用失败，用Wireshark过滤 http.request.method == "POST"，一眼就能看出参数有没有传错。
进阶：只抓特定IP或关键词
如果服务器流量大，可以缩小范围。比如只抓来自某个IP的包：
sudo tcpdump -i any host 1.2.3.4 -w test.pcap或者抓包含“login”的数据包（需要结合grep）：
sudo tcpdump -A -i any port 80 | grep -i login注意：-A 参数是以ASCII文本形式输出，适合查看明文内容，但不适合HTTPS。
HTTPS抓包怎么办？
HTTPS是加密的，tcpdump只能看到加密后的数据，看不到具体内容。想看明文，得从应用层下手。比如在Node.js服务里加日志打印req.body，在Nginx配置中开启access_log记录请求体（需编译模块），或者用eBPF技术在内核层面拦截SSL数据——但这对普通用户门槛较高。
更实际的做法是：在测试环境临时关闭HTTPS，或让客户端配合发HTTP请求用于调试。
注意事项别忽略
云服务器抓包不是随便来的。长时间抓包会占用磁盘，尤其流量大的服务，几分钟就可能产生几百MB文件。建议设置文件大小轮转，或者限定抓包时间。
另外，生产环境抓包涉及用户数据，务必遵守隐私规范。敏感信息如密码、身份证号，即使抓到了也不该保存或传播。
有些云厂商也限制抓包权限。比如默认不能监听网络接口，需要开通高级权限或使用平台提供的网络监控工具，像阿里云的VPC流日志、腾讯云的网络探针，也能部分替代抓包功能。