ngrep liefert die Netzwerkdaten auf dem Medium in ASCII-Format.
Analog zum UNIX-grep können Suchausdrücke mit Hilfe Regulärer Ausdrücke erstellt werden.
Zusätzlich können das Netz betreffende Filterregeln definiert werden.

Syntax

ngrep [option] <regex> <filter>

[option] : Schalter -dAniwvqlVex, siehe Interface und Matching, Spezielles
<regex> : Regulärer Ausdruck, üblicherweise in 'regex'
<filter> : Filterregel analog zu tcpdump, siehe Expressions (pcap-Filterregel)

Interface und Matching

-d <interface>	Angabe des Interfaces Bsp.: -d eth0 oder auch -d lo
-A <number>	Dumping von number Paketen nach einem Matching
-n <number>	Dumping von number Paketen
-i	Case-insensitive : ignoriert Groß/Kleinschreibung
-w <word>	Matching bei exaktem Auftreten von word
-v	Invertiert Matching : zeige alle Pakete, die nicht zutreffen
-q	Quiet-Mode

Spezielles

-l	gepufferte Ausgabe ( z.B. für Pipes )
-V	Versionsnummer des Programms ngrep
-e	zeigt leere Pakete
-x	Ausgabe in hexdump Format

Expressions

Expressions definieren Filterregeln. Sie werden wie Boolesche Ausdrücke verwendet.
Filterregeln können mit den Operatoren and und or und not verknüpft werden.
Ergibt der gesamte (boolesche) Ausdruck true, so wird das Paket gefiltert.

host <host>	Pakete, in denen die IP des host vorkommt, werden gefiltert. host kann IP oder FQHN sein
net <net>	Pakete, in denen die Net-ID net vorkommt, werden gefiltert. net muß IP-Netaddress sein. Bsp.: 192.168.0 anstelle von mynet.de
port <port>	Pakete, in denen der Port port vorkommt, werden gefiltert port kann Nummer oder Name gemäß /etc/services sein
src <host>	Pakete, die vom host kommen, werden gefiltert (IP oder FQHN)
dst <host>	Pakete, die zum host gehen, werden gefiltert (IP oder FQHN)
tcp, udp, ip, ...	Protokolltypen, die gefiltert werden ( s.a man tcpdump )