| 命令 | tcpdump -i any -s 0 -w <文件> |
|---|---|
| 控制 | -C 每文件大小、-W 文件数、-Z 降权用户 |
抓包
抓包
tcpdump -i any -s 0 -w /mnt/ev/cap.pcap -C 100 -W 20 -Z root
tcpdump -r /mnt/ev/cap.pcap -nn 'tcp port 443' | head抓包占用磁盘与 CPU，上线前先估算流量规模；PCAP 含明文与隐私数据，按证据管理。
主机侧抓包与环形留存
现场抓包能补上日志没有的网络事实：指定快照长度、写入文件并用环形命名控制体积，便于长时间留存。
易错点
- -s 0 抓完整包体积大，长时间抓取建议先定过滤条件
- any 接口在部分内核上时间戳精度与物理网卡不同
数据来源与参考
- tcpdump 官方文档（man 8 tcpdump）