snaplen 用法
snaplen 用法
tcpdump -nn -i eth0 -s 96 -c 1000 port 33434 # 只留头部，低开销
tcpdump -nn -i eth0 -s 0 -A 'tcp port 80' # 抓全包看正文
tcpdump -nn -i eth0 -s 1500 -w /tmp/hdr.pcap port 443| 默认值 | 现代 libpcap 默认 262144 字节（旧版本 65535） |
|---|---|
| -s 0 | 抓取完整报文（含 VLAN/隧道封装所需的全部字节） |
| 截断迹象 | 输出出现 [|tcp] / [|http] 标记 |
分析 TLS 握手、HTTP 头之外的内容时必须 -s 0；只做连接层判读时用小 snaplen 反而能显著提高抓包吞吐。