如何使用 tcpdump 捕获最后 N 秒的数据包

Question

如何使用 tcpdump 捕获最后 N 秒的数据包？

Answer 1

如果你只是想让 tcpdump 运行 n 秒然后退出，你可以使用超时。

例如：

timeout 2 tcpdump -eni mon0

否则我不相信 tcpdump 可以选择这样做。

Answer 2

我认为实现此目的的最佳方法是使用 tcpdump 的 -G 标志，当与 -w 一起使用时，它将每 N 秒将转储保存到一个新文件。例如：

tcpdump -w 输出文件-%s -G 10

这将每 10 秒创建一个名为“outfile-XXXX”的新文件（其中 XXXX 代表自纪元以来的秒数）。

有关更多详细信息，请参阅 tcpdump(8) 和 strftime(3) 的手册页。