​![QQ20260616-094515.jpg](https://developer.qcloudimg.com/http-save/yehe-8669443/5b140c96c80ee422721f5270219b8ac7.png)

# 1 EVE Pro Network Filter - BPF 过滤表达式完整参考


**文档版本**: v1.0

**创建时间**: 2026-06-15

**适用版本**: EVE-NG Pro 6.4+ / 7.0+


----

## 1.1 一、常用协议列表（18 种）


|类型|协议|EVEProBPF表达式|IPv4/IPv6|子类型|
|:-:|:-:|:-:|:-:|:-:|
|**L2 控制平面**|STP/BPDU|`ether dst 01:80:c2:00:00:00 or ether dst 01:00:0c:cc:cc:cd`|❌ L2|✅ Config/TCN/RSTP|
||CDP|`ether dst 01:00:0c:cc:cc:cc and ether[20:2] = 0x2000`|❌ L2|❌|
||LLDP|`ether proto 0x88cc`|❌ L2|❌|
||IS-IS|`isis`|❌ L2|✅ Hello/LSP/CSNP/PSNP|
||802.1Q|`vlan`|❌ L2|❌|
|**IGP**|OSPF|`ip proto 89`|✅ v4 + v6|✅ Hello/DBD/LSR/LSU/LSAck|
||EIGRP|`ip proto 88`|✅ v4 + v6|✅ Update/Query/Reply/Hello|
||RIP|`udp port 520`|✅ v4 + v6|✅ Request/Response|
|**ICMP**|ICMP|`icmp`|✅ v4 + v6|✅ Echo/Dest Unreach/TTL-Exceeded|
||Ping|`icmp[0] = 8 or icmp[0] = 0`|✅ v4 + v6|✅ Echo Request/Reply|
|**EGP**|BGP|`tcp port 179`|✅ v4 + v6|✅ OPEN/UPDATE/NOTIFICATION/KEEPALIVE|
|**Overlay**|VXLAN|`udp port 4789`|✅ v4 + v6|✅ VNI 匹配|
||LISP|`udp port 4341 or udp port 4342`|✅ v4 + v6|✅ Map-Req/Reply/Register|
|**隧道**|GRE|`ip proto 47`|✅ v4 + v6|❌|
|**安全**|IPsec|`ip proto 50 or ip proto 51 or (udp and (port 500 or port 4500))`|✅ v4 + v6|✅ ESP/AH/ISAKMP|
|**AAA**|RADIUS|`udp and (port 1812 or port 1813 or port 1645 or port 1646)`|✅ v4 + v6|✅ Auth/Acct|
||TACACS+|`tcp port 49`|✅ v4 + v6|❌|
|||||


----

## 1.2 二、BPF 过滤表达式详解


### 1.2.1 2.1 L2 控制平面协议


#### 1.2.1.1 **STP / BPDU**


```
# IEEE 802.1D STP + Cisco PVST+/RSTP
ether dst 01:80:c2:00:00:00 or ether dst 01:00:0c:cc:cc:cd
```
**子类型**:


|子类型|BPF表达式|
|:-:|:-:|
|**Config (0x00)**|`(ether dst 01:80:c2:00:00:00 and ether[20]=0x00) or (ether dst 01:00:0c:cc:cc:cd and ether[25]=0x00) or (vlan and ether dst 01:00:0c:cc:cc:cd and ether[29]=0x00)`|
|**TCN (0x80)**|`(ether dst 01:80:c2:00:00:00 and ether[20]=0x80) or (ether dst 01:00:0c:cc:cc:cd and ether[25]=0x80) or (vlan and ether dst 01:00:0c:cc:cc:cd and ether[29]=0x80)`|
|**RSTP (0x02)**|`(ether dst 01:80:c2:00:00:00 and ether[20]=0x02) or (ether dst 01:00:0c:cc:cc:cd and ether[25]=0x02) or (vlan and ether dst 01:00:0c:cc:cc:cd and ether[29]=0x02)`|


----

#### 1.2.1.2 **CDP** (Cisco Discovery Protocol)


```
ether dst 01:00:0c:cc:cc:cc and ether[20:2] = 0x2000
```


----

#### 1.2.1.3 **LLDP** (Link Layer Discovery Protocol)


```
ether proto 0x88cc
```


----

#### 1.2.1.4 **IS-IS**


```
isis
```
**子类型**:


|子类型|PDU类型|BPF表达式|
|:-:|:-:|:-:|
|**Hello**|15/16/17|`isis and ((ether[21] & 0x1f) = 15 or (ether[21] & 0x1f) = 16 or (ether[21] & 0x1f) = 17)`|
|**LSP**|18/20|`isis and ((ether[21] & 0x1f) = 18 or (ether[21] & 0x1f) = 20)`|
|**CSNP**|24/25|`isis and ((ether[21] & 0x1f) = 24 or (ether[21] & 0x1f) = 25)`|
|**PSNP**|26/27|`isis and ((ether[21] & 0x1f) = 26 or (ether[21] & 0x1f) = 27)`|


----

#### 1.2.1.5 **802.1Q** (VLAN)


```
vlan
```


----

### 1.2.2 2.2 IGP 协议


#### 1.2.2.1 **OSPF**


```
# IPv4
ip proto 89

# IPv6
ip6 proto 89
```
**子类型**:


|子类型|类型字节|IPv4BPF|IPv6BPF|
|:-:|:-:|:-:|:-:|
|**Hello**|1|`ip proto 89 and ip[((ip[0]&0xf)<<2)+1]=1`|`ip6 proto 89 and ip6[41]=1`|
|**DBD**|2|`ip proto 89 and ip[((ip[0]&0xf)<<2)+1]=2`|`ip6 proto 89 and ip6[41]=2`|
|**LSR**|3|`ip proto 89 and ip[((ip[0]&0xf)<<2)+1]=3`|`ip6 proto 89 and ip6[41]=3`|
|**LSU**|4|`ip proto 89 and ip[((ip[0]&0xf)<<2)+1]=4`|`ip6 proto 89 and ip6[41]=4`|
|**LSAck**|5|`ip proto 89 and ip[((ip[0]&0xf)<<2)+1]=5`|`ip6 proto 89 and ip6[41]=5`|

**偏移量计算**:


- `ip[0]&0xf` = IHL（IP 头长度，低 4 位，单位 4 字节）

- `((ip[0]&0xf)<<2)` = IP 头长度（字节）

- `+1` = OSPF 类型字段偏移


----

#### 1.2.2.2 **EIGRP**


```
# IPv4
ip proto 88

# IPv6
ip6 proto 88
```
**子类型** (⚠️ 仅 IPv4):


|子类型|OpCode|BPF表达式|
|:-:|:-:|:-:|
|**Update**|1|`ip proto 88 and ip[((ip[0]&0xf)<<2)+1]=1`|
|**Query**|3|`ip proto 88 and ip[((ip[0]&0xf)<<2)+1]=3`|
|**Reply**|4|`ip proto 88 and ip[((ip[0]&0xf)<<2)+1]=4`|
|**Hello/Ack**|5|`ip proto 88 and ip[((ip[0]&0xf)<<2)+1]=5`|
|**SIA-Query**|10|`ip proto 88 and ip[((ip[0]&0xf)<<2)+1]=10`|
|**SIA-Reply**|11|`ip proto 88 and ip[((ip[0]&0xf)<<2)+1]=11`|


----

#### 1.2.2.3 **RIP**


```
# IPv4
udp port 520

# IPv6 (RIPng)
udp port 521
```
**子类型** (⚠️ 仅 IPv4):


|子类型|Command|BPF表达式|
|:-:|:-:|:-:|
|**Request**|1|`udp port 520 and udp[8]=1`|
|**Response**|2|`udp port 520 and udp[8]=2`|


----

### 1.2.3 2.3 ICMP 协议


#### 1.2.3.1 **ICMP**


```
# IPv4
icmp

# IPv6
icmp6
```
**子类型**:


|子类型|IPv4Type|IPv6Type|IPv4BPF|IPv6BPF|
|:-:|:-:|:-:|:-:|:-:|
|**Echo Request**|8|128|`icmp[icmptype]=8`|`icmp6 and ip6[40]=128`|
|**Echo Reply**|0|129|`icmp[icmptype]=0`|`icmp6 and ip6[40]=129`|
|**Dest Unreachable**|3|1|`icmp[icmptype]=3`|`icmp6 and ip6[40]=1`|
|**TTL Exceeded**|11|3|`icmp[icmptype]=11`|`icmp6 and ip6[40]=3`|
|**Redirect**|5|-|`icmp[icmptype]=5`|❌|


----

#### 1.2.3.2 **Ping (Echo)**


```
# IPv4
icmp[0] = 8 or icmp[0] = 0

# IPv6
icmp6 and (ip6[40] = 128 or ip6[40] = 129)
```


----

### 1.2.4 2.4 EGP 协议


#### 1.2.4.1 **BGP**


```
tcp port 179
```
**子类型** (⚠️ 仅 IPv4):


|子类型|消息类型|BPF表达式|
|:-:|:-:|:-:|
|**OPEN**|1|`tcp port 179 and tcp[((tcp[12]&0xf0)>>2)+18]=1`|
|**UPDATE**|2|`tcp port 179 and tcp[((tcp[12]&0xf0)>>2)+18]=2`|
|**NOTIFICATION**|3|`tcp port 179 and tcp[((tcp[12]&0xf0)>>2)+18]=3`|
|**KEEPALIVE**|4|`tcp port 179 and tcp[((tcp[12]&0xf0)>>2)+18]=4`|

**偏移量计算**:


- `tcp[12]&0xf0` = TCP 数据偏移（高 4 位，单位 4 字节）

- `((tcp[12]&0xf0)>>2)` = TCP 头长度（字节）

- `+18` = BGP 消息头的 Type 字段偏移


----

### 1.2.5 2.5 Overlay 协议


#### 1.2.5.1 **VXLAN**


```
# 基础匹配
udp port 4789
```
**VNI 匹配**:


|写法|表达式|说明|
|:-:|:-:|:-:|
|**3 字节比对** (Pro 7.8+)|`ether[46:3] == 0xVVVVVV`|简洁，EVE-NG Pro 78 支持|
|**2+1 字节拆分** (通用)|`ether[46:2] == 0xXXXX and ether[48] == 0xXX`|兼容性最好|

**VNI 速查**:


|VNI|十六进制|3字节写法|2+1字节写法|
|:-:|:-:|:-:|:-:|
|10000|0x002710|`ether[46:3] == 0x002710`|`ether[46:2] == 0x0027 and ether[48] == 0x10`|
|20000|0x004E20|`ether[46:3] == 0x004E20`|`ether[46:2] == 0x004E and ether[48] == 0x20`|
|5001|0x001389|`ether[46:3] == 0x001389`|`ether[46:2] == 0x0013 and ether[48] == 0x89`|
|90000|0x015F90|`ether[46:3] == 0x015F90`|`ether[46:2] == 0x015F and ether[48] == 0x90`|
|91000|0x016378|`ether[46:3] == 0x016378`|`ether[46:2] == 0x0163 and ether[48] == 0x78`|

**完整示例** (VXLAN + VLAN + 源网络):

```
# VXLAN VNI 90000，Tenant-A 网络 172.16.0.0/16
(src net 172.16.0.0/16 and icmp) or 
(udp port 4789 and ether[46:3] == 0x015F90 and ether[73] == 1) or 
(vlan and src net 172.16.0.0/16 and icmp)
```


----

#### 1.2.5.2 **LISP**


```
udp port 4341 or udp port 4342
```
**子类型** (⚠️ 仅 IPv4):


|子类型|消息类型|BPF表达式|
|:-:|:-:|:-:|
|**Map-Request**|0x10|`udp dst port 4342 and (udp[8]&0xf0)=0x10`|
|**Map-Reply**|0x20|`udp dst port 4342 and (udp[8]&0xf0)=0x20`|
|**Map-Register**|0x30|`udp dst port 4342 and (udp[8]&0xf0)=0x30`|
|**Map-Notify**|0x40|`udp dst port 4342 and (udp[8]&0xf0)=0x40`|


----

### 1.2.6 2.6 隧道协议


#### 1.2.6.1 **GRE**


```
# IPv4
ip proto 47

# IPv6
ip6 proto 47
```


----

### 1.2.7 2.7 安全协议


#### 1.2.7.1 **IPsec**


```
# IPv4
ip proto 50 or ip proto 51 or (ip and udp and (port 500 or port 4500))

# IPv6
ip6 proto 50 or ip6 proto 51 or (ip6 and udp and (port 500 or port 4500))
```
**子类型**:


|子类型|协议|IPv4BPF|IPv6BPF|
|:-:|:-:|:-:|:-:|
|**ESP**|50|`ip proto 50`|`ip6 proto 50`|
|**AH**|51|`ip proto 51`|`ip6 proto 51`|
|**ISAKMP/IKE**|UDP 500/4500|`udp and (port 500 or port 4500)`|`ip6 and udp and (port 500 or port 4500)`|


----

#### 1.2.7.2 **RADIUS**


```
udp and (port 1812 or port 1813 or port 1645 or port 1646)
```
**子类型**:


|子类型|端口|BPF表达式|
|:-:|:-:|:-:|
|**Auth**|1812/1645|`udp and (port 1812 or port 1645)`|
|**Acct**|1813/1646|`udp and (port 1813 or port 1646)`|


----

#### 1.2.7.3 **TACACS+**


```
tcp port 49
```


----

## 1.3 三、BPF 表达式构建指南


### 1.3.1 3.1 核心构建模板


```
(核心表达式) and (可选条件1) and (可选条件2) ...
```
**可选条件**:


- `src host <IP>` - 源 IP

- `dst host <IP>` - 目的 IP

- `src net <CIDR>` - 源网段

- `dst net <CIDR>` - 目的网段

- `port <N>` - 端口

- `tcp` / `udp` / `icmp` - L4 协议


### 1.3.2 3.2 VLAN 支持（必须手动添加）


如果协议可能通过 VLAN 传输，需要手动添加 VLAN 分支：

```
# 基础（无 VLAN）
udp port 4789 and ether[46:3] == 0x015F90

# 完整（支持 VLAN）
(udp port 4789 and ether[46:3] == 0x015F90) or (vlan and udp port 4789 and ether[46:3] == 0x015F90)
```
### 1.3.3 3.3 OR 表达式中 vlan 必须放最后


```
# ✅ 正确：vlan 放最后
icmp[0] == 8 or (udp port 4789 and ether[84] == 8) or (vlan and icmp[0] == 8)

# ❌ 错误：vlan 在中间
icmp[0] == 8 or (vlan and icmp[0] == 8) or (udp port 4789 and ether[84] == 8)
```
**原因**: `vlan` 关键字会永久改变 BPF 偏移寄存器，导致后续分支基于错误基准点计算。


----

## 1.4 四、实战示例


### 1.4.1 4.1 示例 1：OSPF Hello（IPv4，源 IP 10.0.0.1）


```
(ip proto 89 and ip[((ip[0]&0xf)<<2)+1]=1) and src host 10.0.0.1
```
### 1.4.2 4.2 示例 2：BGP UPDATE 消息（IPv4）


```
tcp port 179 and tcp[((tcp[12]&0xf0)>>2)+18]=2
```
### 1.4.3 4.3 示例 3：VXLAN VNI 5001


```
# 基础（无 VLAN）
udp port 4789 and ether[46:3] == 0x001389

# 完整（支持 VLAN）
(udp port 4789 and ether[46:3] == 0x001389) or (vlan and udp port 4789 and ether[46:3] == 0x001389)
```
### 1.4.4 4.4 示例 4：Tenant-A ICMP 流量（VXLAN+VLAN+裸包）


```
# Tenant-A: VNI 90000, 网络 172.16.0.0/16
(src net 172.16.0.0/16 and icmp) or 
(udp port 4789 and ether[46:3] == 0x015F90 and ether[73] == 1) or 
(vlan and src net 172.16.0.0/16 and icmp)
```
### 1.4.5 4.5 示例 5：RADIUS Auth + Acct


```
udp and (port 1812 or port 1813 or port 1645 or port 1646)
```


----

## 1.5 五、缺失协议补充


以下协议不在预设列表中，可使用自定义 BPF：


|协议|用途|BPF表达式|
|:-:|:-:|:-:|
|**ARP**|地址解析|`arp` 或 `ether proto 0x0806`|
|**NDP**|IPv6 地址解析|`icmp6 and (ip6[40]=135 or ip6[40]=136)`|
|**LDP**|MPLS 标签分发|`udp port 646`|
|**RSVP**|MPLS TE|`ip proto 46`|
|**BFD**|双向转发检测|`udp port 3784 or udp port 3785`|
|**VRRP**|虚拟路由器冗余|`ip proto 112`|
|**HSRP**|Cisco 热备|`udp port 1985`|


----

## 1.6 六、BPF 语法速查


### 1.6.1 6.1 基本语法


|语法|说明|示例|
|:-:|:-:|:-:|
|`host <IP>`|源或目的 IP|`host 10.0.0.1`|
|`src host <IP>`|源 IP|`src host 10.0.0.1`|
|`dst host <IP>`|目的 IP|`dst host 10.0.0.2`|
|`net <CIDR>`|网段|`net 172.16.0.0/16`|
|`port <N>`|端口|`port 179`|
|`proto <N>`|IP 协议号|`proto 89` (OSPF)|
|`vlan`|802.1Q 标记|`vlan and ip`|
|`and` / `or` / `not`|逻辑运算符|`ip and tcp and not port 22`|

### 1.6.2 6.2 字节匹配


|语法|说明|示例|
|:-:|:-:|:-:|
|`ip[n]`|IPv4 头第 n 字节|`ip[0]` = Version + IHL|
|`ip6[n]`|IPv6 头第 n 字节|`ip6[40]` = Next Header 后第一个字节|
|`tcp[n]`|TCP 头第 n 字节|`tcp[12]` = Data Offset + Flags|
|`udp[n]`|UDP 头第 n 字节|`udp[8]` = LISP Type|
|`ether[n]`|Ethernet 头第 n 字节|`ether[46]` = VXLAN VNI 高字节|
|`ip[n:m]`|从 n 开始取 m 字节|`ip[20:4]` = Source Address|
|`udp[n:m]`|从 n 开始取 m 字节|`udp[12:4]` = VXLAN 头|

### 1.6.3 6.3 位运算


|语法|说明|示例|
|:-:|:-:|:-:|
|`&`|按位与|`ip[0]&0xf` = IHL|
|`<<`|左移|`(ip[0]&0xf)<<2` = IP 头长度（字节）|
|`>>`|右移|`(udp[12:4]>>8)` = VNI 高 24 位|


----

## 1.7 七、BPF 黄金法则


### 1.7.1 法则 1️⃣：VNI 必须拆分


```
# ❌ 错误：3 字节比对
ether[46:3] == 0x002710

# ✅ 正确：拆分为 2+1 字节
ether[46:2] == 0x0027 and ether[48] == 0x10
```
### 1.7.2 法则 2️⃣：OR 中 vlan 必须放最后


```
# ✅ 正确
icmp[0] == 8 or (udp ...) or (vlan and icmp[0] == 8)

# ❌ 错误
vlan and icmp[0] == 8 or icmp[0] == 8 or (udp ...)
```
### 1.7.3 法则 3️⃣：括号具有作用域隔离


```
# ✅ 递归嵌套：vlan 指针各自独立
arp or (vlan and (arp or (vlan and arp)))

# ❌ 平铺展开：多 vlan 并列导致偏移混乱
arp or (vlan and arp) or (vlan and vlan and arp)
```


----

**文档状态**: ✅ 完成

原因: vlan 关键字会永久改变 BPF 偏移寄存器，导致后续分支基于错误基准点计算。

EVE-NG V7常用网络协议流量洞察BPF过滤语句

网络与通信

开发工具

EVE-NG Pro网络BPF过滤表达式完整指南，涵盖18种协议类型，包括STP、CDP、OSPF、BGP、VXLAN等。提供详细BPF语法、子类型过滤、VLAN处理技巧及实战示例，适用于EVE-NG Pro 6.4+/7.0+版本。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

EVE-NG V7常用网络协议流量洞察BPF过滤语句-腾讯云开发者社区-腾讯云

EVE-NG V7常用网络协议流量洞察BPF过滤语句

EVE-NG V7常用网络协议流量洞察BPF过滤语句

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐