如何配置Linux Sniffer以优化性能
根据需求选择工具类型：tcpdump（命令行，轻量高效，适合自动化抓包或高负载场景）、Wireshark（图形化，功能全面，适合详细分析）、Tshark（Wireshark命令行版，兼顾功能与性能，适合远程或脚本处理）。优先选择命令行工具（如tcpdump、Tshark）以减少图形界面带来的资源消耗。
通过过滤条件减少不必要的数据捕获，降低CPU和内存负载。常用过滤示例：
tcpdump -i eth0 host 192.168.1.100（仅捕获与指定IP的通信）；tcpdump -i eth0 port 80（仅捕获HTTP流量）；tcpdump -i eth0 icmp（仅捕获ICMP流量，如ping）。修改/etc/sysctl.conf文件调整内核参数，提升网络处理能力：
net.ipv4.tcp_rmem（接收缓冲区）、net.ipv4.tcp_wmem（发送缓冲区）、net.core.rmem_max（最大接收缓冲区）、net.core.wmem_max（最大发送缓冲区），例如：net.ipv4.tcp_rmem = 4096 87380 6291456（最小、默认、最大值）；net.core.netdev_max_backlog（内核接收队列最大长度，如设为16384）、net.ipv4.tcp_max_syn_backlog（SYN队列长度，如设为8192），避免队列溢出导致丢包；net.ipv4.tcp_tw_reuse（允许复用TIME_WAIT状态的连接），减少连接建立开销。sysctl -p使配置生效。ethtool命令调整网卡接收/发送队列大小（如ethtool -G ens33 rx 2048 tx 1024，ens33为网卡名），减少数据包丢失；ifconfig eth0 mtu 9000或ip link set dev eth0 mtu 9000设置更大MTU（默认1500），提高单次传输效率（需网卡和交换机支持）；ethtool -L eth0 combined X（X为队列数，如8）绑定中断到多个CPU核心，提升并行处理能力。.pcap（tcpdump默认）或.pcapng（Wireshark增强格式），而非文本格式，减少I/O开销；tcpdump -C 100 -W 10 -w capture.pcap设置每个文件100MB、最多保留10个文件，避免单个文件过大或文件数量过多影响性能；使用top/htop监控CPU使用率、vmstat 1查看内存和进程状态、iostat 1监控磁盘I/O、iftop/nethogs监控网络带宽，识别性能瓶颈：
net.core.rmem_max/net.core.wmem_max或优化应用程序内存使用；noatime减少元数据操作）。使用cgroups或systemd限制Sniffer进程的资源使用，避免单个进程占用过多系统资源：
/etc/systemd/system/sniffer.service，添加：[Service]LimitCPU=200%（限制CPU使用率为200%）；LimitMEMLOCK=512M（限制内存锁定为512MB）；systemctl daemon-reload和systemctl start sniffer。若软件调优仍无法满足需求，可升级硬件：