抓包选项在做什么
抓包选项对话框统一管理本地抓包行为：选择接口、是否使用混杂模式、快照长度、输出文件与自动新建文件的规则、以及停止条件。长时间抓包靠两样东西控制文件尺寸：一是按大小或时间自动新建文件并限制文件数量形成环形缓冲，二是按包数、时长或字节数自动停止。多接口可以同时选中，此时会生成包含多个接口记录的文件，旧工具可能读不全。
基本信息
| 入口 | 抓包菜单里的选项对话框，或工具栏上的相应按钮 |
|---|---|
| 接口选择 | 支持多选，此时记录会包含多个接口的数据 |
| 输出设置 | 文件名与自动新建文件规则（按大小、按时间或按包数） |
| 停止条件 | 按包数、按大小、按时间自动停止 |
| 快照长度 | 默认值较大，需要完整载荷时设为不截断 |
典型使用场景
- 长时间盯守某个端口：用环形缓冲限制总占用
- 排查间歇性故障：设置按时间新建文件，便于按段检索
- 取样分析：设置包数上限，抓够即停
- 多接口同时观察：一次抓取多个接口的流量
- 无人值守场景：用自动停止条件避免长时间占用磁盘
关键设置项
关键设置项
接口：可多选，按住修饰键点选多个接口
输出：指定文件名，并启用自动新建文件（按大小或按时间）
文件数量：限制环形文件总数，写满后覆盖最旧的
停止条件：包数、字节数或秒数，任一满足即停止
快照长度：需要完整载荷时设为不截断选项与取值建议
| 选项 | 作用 | 建议 |
|---|---|---|
| 接口多选 | 同时抓多个接口 | 排查范围不明时可用，分析时注意接口区分 |
| 自动新建文件 | 按大小或时间切分文件 | 长时间抓包必需，便于按段检索 |
| 文件数量上限 | 形成环形覆盖 | 按磁盘余量计算总占用，留出安全余量 |
| 停止条件 | 自动结束抓取 | 无人值守场景必须设置，避免一直运行 |
| 快照长度 | 控制每包保存字节数 | 排查应用层设为不截断，仅看头部可减小 |
| 混杂模式 | 接收非本机目的地址的报文 | 交换机端口镜像场景下通常需要开启 |
界面抓包与命令行工具能力一致，服务器环境更适合用命令行工具或专门的抓包程序：不依赖图形界面，也更容易写进自动化脚本。
自动新建文件规则若配置不当会覆盖已有文件。启用环形覆盖前先算清楚单文件大小与文件数量上限的乘积，确认总占用在磁盘余量之内。
命令行等价做法
命令行等价做法
dumpcap -i eth0 -b filesize:102400 -b files:10 -w /tmp/ring.pcapng # 环形缓冲
dumpcap -i eth0 -a duration:600 -w /tmp/ten.pcapng # 十分钟后自动停止
dumpcap -D # 先看接口清单判读要点
- 多接口文件在分析时需要按接口区分，混在一起看容易误判
- 自动停止条件与环形缓冲是两件事，长期抓包通常两者都要设置
- 快照长度设得偏小会让内容缺失，排查应用层问题时务必调整为不截断
- 文件命名带时间便于事后检索，环形覆盖时尤其重要