当 tcpdump 文件大小达到 10Mb 时如何保存新文件答案

【问题标题】：how to save a new file when tcpdum file size reaches 10Mb当 tcpdump 文件大小达到 10Mb 时如何保存新文件
【发布时间】：2014-02-05 03:16:44
【问题描述】：

我想使用 tcpdump 捕获我的网络流量，如果捕获的数据包上升为 10mb，我想制作另一个文件。如何使用 tcpdump 安排这个。请善待我。谢谢。

【问题讨论】：

标签： tcpdump

【解决方案1】：

tcpdump -W 5 -C 10 -w capfile

上述命令的作用是创建一个包含 5 个文件 (-W 5) 的旋转缓冲区，一旦当前文件达到 10,000,000 字节，tcpdump 就会切换到另一个文件，大约 10MB（-C 以 1,000,000 字节为单位工作，所以 -C 10 = 10,000,000 字节）。文件的前缀将是 capfile (-w capfile)，每个文件都会附加一个一位整数。

因此，您的目录将有 5 个文件轮换使用不断捕获的数据：

capfile0
capfile1
capfile2
capfile3
capfile4

每个大约 10,000,000 字节，但可能会稍大（取决于剩余空间和收到的最后一个数据包的大小）。如果您想拥有更大的滚动数据，请将您的 -W 设置为更高的计数（-W 50）。

用户和组 tcpdump 有权写入存储这些文件的位置也很重要。即使您以 root 身份运行。

【讨论】：

【解决方案2】：

值得一提的是，省略 -W 将禁用旋转，因此只会添加文件而不是旋转文件。当您调查网络问题并需要长时间捕获流量并希望所有文件都存在时，这很好。

% tcpdump -i eth0 -w file.pcap -G 3600 -C 100 -K -n &

【讨论】：

【解决方案3】：

由于这是一个非常有用的线程，可能值得一提的是，您运行此 tcpdump 命令的文件夹需要world write-able permissions or your user needs to be owner or part of the owning group of the directory，否则您将看到写入文件时出错。

【讨论】：