| 用途 | 无缓冲写文件（packet-buffered） |
|---|---|
| 语法 | tcpdump -U -w <文件> ... |
常用示例
常用示例
tcpdump -i eth0 -U -s 0 -w /tmp/live.pcap 'host 10.0.0.9'配合 -w - 直接输出到管道（如 ssh 远端）时该选项常与 -l 一起用。
tcpdump -U 包到达即写盘
关闭写缓冲，让每个包一到就写入文件而不是等缓冲区满；实时管道消费与突然中断场景能保住已抓数据，代价是 IO 更频繁。
易错点
- 高频写盘会增加 IO 压力，机械盘上可能触发丢包；SSD 或 tmpfs 更合适
- 已缓冲数据在进程被 kill -9 时仍可能丢失一部分，关键取证场景保持 -U 开启
数据来源与参考
- man 8 tcpdump（-U 选项）