Ubuntu 下 Dumpcap 的高级功能与用法
一 捕获与文件轮转控制
- 多接口与快速选择：使用 -i any 捕获所有接口；用 -D 列出可用接口，便于脚本化选择。支持对高吞吐场景的连续抓取与自动化分片管理。
- 文件尺寸与时间间隔轮转：通过 -C （按大小，单位 MB）与 -G （按时间，单位秒）控制切分；配合 -W 设置保留文件数量，自动淘汰最旧文件，便于长期 7×24 小时采集。
- 写入保护与静默：使用 -W（部分版本支持写入保护语义）与 -q 降低控制台输出，适合生产环境守护进程化运行。
二 性能与过滤优化
- 内核环形缓冲：通过 -B 增大捕获环形缓冲，减少在高流量下的丢包概率（提升内核到用户态的“桥接”能力）。
- 快照长度与链路层：用 -s 控制每个包的最大捕获字节（如 -s 1500 适配常见以太网 MTU，或 -s 65535 保留更完整负载）；结合 -e 保留链路层头部信息（如 MAC 地址），满足精细化故障定位。
- 名称解析控制：使用 -n/-nn 关闭主机名/端口名或协议名解析，显著降低 CPU 与内存开销，提升长时间捕获稳定性。
- 捕获过滤器与显示过滤器：用 -f “bpf” 在抓包源头过滤（如 -f “tcp port 80”），只保留感兴趣流量，减少磁盘与后端分析压力；注意区分捕获过滤与显示过滤的适用场景。
三 时间精度与输出格式
- 时间戳控制：通过 -t 选择时间戳类型（如 ad-dec、iso、unixtime 等），用 -T 指定输出格式（如 pcap、pcapng），便于与后端分析工具或合规归档要求对接。
- 文件只读与追加：使用 -W（写入保护）与 -e（追加）管理采集文件的完整性与可维护性，适合审计与取证场景。
四 实战示例
- 按时间轮转并限制保留数量（每小时一个文件，保留最近 24 个）：
sudo dumpcap -i any -w /var/cap/cap_ -G 3600 -W 24
- 高吞吐场景（加大缓冲、固定快照长度、源头过滤 80/443）：
sudo dumpcap -i eth0 -B 256 -s 1500 -f “tcp port 80 or tcp port 443” -w http_https.pcap
- 长时间无人值守采集（静默、按大小轮转、写入保护）：
sudo dumpcap -i eth0 -q -C 1000 -W 10 -w /data/cap_