tcpdump - 当 tcpdump 文件大小达到 10Mb 时如何保存新文件

Question

我想使用 tcpdump 捕获网络流量，如果捕获的数据包增加为 10mb，我想创建另一个文件。我如何使用 tcpdump 安排此操作。请善意地帮助我。谢谢。

Answer 1

tcpdump -W 5 -C 10 -w capfile

上面命令的作用是创建一个包含 5 个文件的循环缓冲区 (-W 5)，一旦当前文件达到 10,000,000 字节，大约 10MB，tcpdump 就会切换到另一个文件(-C 以 1,000,000 字节为单位工作，因此 -C 10 = 10,000,000 字节)。文件的前缀将为 capfile (-w capfile)，并且每个文件将附加一个一位整数。

因此，您的目录将有 5 个文件，这些文件不断旋转并捕获数据:

capfile0
capfile1
capfile2
capfile3
capfile4

每个大约为 10,000,000 字节，但可能会稍大一些(取决于剩余空间和最后收到的数据包的大小)。如果您想要更大的滚动数据，请将 -W 设置为更高的计数 (-W 50)。

用户和组 tcpdump 有权写入存储这些文件的位置也非常重要。即使您以 root 身份运行。