当tcpdum文件大小达到10Mb时如何保存新文件

Question

我想使用tcpdump捕获我的网络流量,如果捕获的数据包上升是10mb我想制作另一个文件.我可以用tcpdump安排这个.请善待我的帮助.谢谢.

Answer 1

tcpdump -W 5 -C 10 -w capfile

以上命令的作用是创建一个5个文件的旋转缓冲区(-W 5),当前文件达到10,000,000字节时,tcpdump切换到另一个文件,大约10MB(-C以1,000,000字节为单位,所以-C 10 = 10,000,000字节).文件的前缀将是capfile(-w capfile),并且每个都将附加一位数的整数.

因此,您的目录将有5个文件与常量捕获数据一起旋转:

capfile0
capfile1
capfile2
capfile3
capfile4

每个将大约10,000,000字节,但可能会略大(取决于剩余的空间和最后收到的数据包的大小).如果您想要更大的滚动数据,请将-W设置为更高的计数(-W 50).

用户和组tcpdump可以访问写入存储这些文件的位置也非常重要.即使您以root身份运行.

Answer 2

值得一提的是，省略 -W 将禁用旋转，因此文件只会被添加而不是被旋转。当您调查网络问题并需要长时间捕获流量并希望所有文件都在那里时，这很好。

% tcpdump -i eth0 -w file.pcap -G 3600 -C 100 -K -n &