滚动抓包
滚动抓包
# 每个文件 100MB，最多保留 20 个（共 2GB）：
tcpdump -i eth0 -nn -s 128 -C 100 -W 20 -w /var/log/net/cap.pcap 'tcp port 443'
# 每 300 秒一个文件，文件名带时间：
tcpdump -i eth0 -nn -G 300 -w '/var/log/net/cap-%Y%m%d-%H%M%S.pcap' 'host 10.0.0.5'
# 定时清理（crontab）：
find /var/log/net -name 'cap-*.pcap' -mtime +1 -delete| 场景 | 间歇性故障、长时间观察、合规留存 |
|---|---|
| -C | 按兆字节滚动（每文件上限） |
| -G | 按秒滚动，文件名支持 strftime 占位 |
| -W | 限制文件数量，超出后从头覆盖（防写满） |
滚动抓包务必配合磁盘监控与 -W/-C：不限量抓包是生产上常见的磁盘写满事故源。