大文件切分
编辑工具可以按包数或时间间隔把巨大的抓包文件切成小片：-c 控制每片的包数，-i 控制每片的秒数。切分之后便于并行分析、分段存档，也便于把有限的内存用在大文件上，是处理几十 GB 采集文件时的常规做法。
基本信息
| 适用平台 | Wireshark 自带的命令行工具 |
|---|---|
| 关键参数 | -c 每片包数、-i 每片秒数 |
| 输出命名 | 自动追加序号后缀 |
| 时间戳 | 切片保留原始时间戳 |
典型使用场景
- 大文件分段后并行分析
- 按时间窗口归档，便于长期留存
- 分段后用两遍解析提升准确度
- 只交付与问题相关的时段片段
- 避免单文件过大导致分析工具卡顿
两种切分方式
两种切分方式
editcap -c 1000000 big.pcapng part.pcapng
# 每 100 万个包切一片
editcap -i 300 long.pcapng per5min.pcapng
# 每 300 秒切一片
ls -1 per5min*.pcapng | head
# 切片名自动追加序号，按序处理避免漏段参数读法
| 参数 | 含义 | 注意 |
|---|---|---|
| -c 包数 | 每片最大包数 | 与文件总量共同决定片数 |
| -i 秒数 | 每片的时间跨度 | 按时间归档时更直观 |
| 输出命名 | 自动追加序号 | 拼接顺序按序号恢复 |
| 时间戳 | 保留原始值 | 合并回原文件时无额外损失 |
切片名会自动加序号后缀，按序处理避免漏段。切片保留原始时间戳，需要还原时用合并工具即可无损拼回，不必担心丢失时序信息。
跨切片边界的会话会被拆开，分析跨段问题时必须合并回看。另外只按时间切分而不记录每片的起止时刻，后续很难快速定位某段对应的业务时间，交付时容易说不清。
使用建议
- 按分析需求选择切分维度：包数便于并行，时间便于归档
- 记录每片的起止时刻，方便定位与检索
- 切片命名带时间或序号，保持目录整洁
- 跨段分析前先合并，避免会话被拆断
- 分段后对关键片段使用两遍解析提升准确度