落盘与回读
落盘与回读
tcpdump -i eth0 -s 0 -nn -w /tmp/issue-$(date +%F-%H%M).pcap 'host 10.0.0.5'
# 复现期间抓，Ctrl+C 停止后：
tcpdump -nn -r /tmp/issue-2026-10-12-1030.pcap | head -50
tcpdump -nn -r /tmp/issue.pcap 'tcp port 443' -c 5
# 交给 Wireshark 前先确认包数与时间范围：
capinfos /tmp/issue.pcap 2>/dev/null || tcpdump -nn -r /tmp/issue.pcap | wc -l| 场景 | 生产问题一次抓取、离线精分析 |
|---|---|
| -w | 写入 pcap 文件（不要同时用 -v 等打印选项） |
| -U | 包缓冲立即刷盘，配合 -w - 可流式输出 |
| -r | 读取 pcap 并应用过滤器 |
抓包前先确认磁盘余量与预计包量：万兆口全速抓包几分钟就能写满几十 GB。