dumpcap 基础用法
dumpcap 是只负责采集的轻量程序：指定接口、过滤条件与输出文件三要素即可开始抓取。相比传统抓包命令，它更贴近 Wireshark 的能力，支持较新的文件格式与多文件轮转，非常适合无界面环境下长时间稳定采集。服务器上的常见组合是它负责抓取、另一个命令行工具负责离线统计分析。权限方面如果接口列表为空，通常是用户组或能力配置没有到位。
基本信息
| 用途 | 无界面环境下长时间稳定采集 |
|---|---|
| 三要素 | 接口、过滤条件、输出文件 |
| 格式支持 | 较新的抓包文件格式与多文件轮转 |
| 常见组合 | 采集与统计由不同工具分工 |
| 权限问题 | 接口列表为空时检查用户组或能力配置 |
典型使用场景
- 服务器采集：长时间落盘并按策略轮转
- 条件过滤：只采集关注流量以减少体积
- 多文件轮转：按大小或时间切分便于回传
- 与统计工具配合：采集与分析分工协作
- 权限排错：确认采集权限配置是否到位
基础用法
基础用法
dumpcap -i eth0 -f 'tcp port 443' -w cap.pcapng \
-b filesize:51200 -b files:10
# 采集过滤条件与显示过滤是两套语法
# 权限不足时接口列表为空
# 采集文件写入数据盘而非系统盘要素与常见问题
| 要素 | 作用 | 常见问题 |
|---|---|---|
| 接口 | 决定采集点 | 权限不足时列表为空 |
| 过滤条件 | 减少落盘体积 | 与显示过滤语法不同 |
| 输出文件 | 决定格式与落盘位置 | 未设轮转容易写满 |
| 轮转 | 控制单文件体积与总量 | 参数不合理会过早覆盖 |
采集阶段使用的过滤条件与后续分析时的显示过滤是两套语法：前者决定哪些报文会落盘，后者只影响展示，混用会得出错误结论。
权限不足时接口列表为空是最典型的症状，优先检查用户组与能力配置，而不是怀疑网卡或驱动故障。