| 用途 | 抓包落盘 / 离线分析 / 轮转 |
|---|---|
| 语法 | tcpdump -w 文件 -C 大小 -W 数量 / tcpdump -r 文件 |
| 要点 | -w 与过滤表达式可组合 |
常用示例
常用示例
tcpdump -i eth0 -nn 'tcp port 8080' -w /tmp/cap.pcap -c 2000
tcpdump -i eth0 -w /tmp/rot -C 100 -W 5 'port 443' # 每个文件 100MB，共 5 个轮转
tcpdump -nn -r /tmp/cap.pcap 'tcp port 8080' -c 50 # 回读过滤
tcpdump -nn -r /tmp/cap.pcap | awk '{print $3, $5}' | head把 pcap 拉回本地用 Wireshark 打开前，先确认两端时钟（-tttt 打完整时间戳便于对齐日志）。