CentOS 环境下 Sniffer 性能优化指南
一 工具与捕获策略优化
- 选择更高效的抓包工具：在高吞吐场景优先使用tcpdump/tshark（命令行、低开销）；需要深度解析再用Wireshark。
- 尽早使用捕获过滤（BPF）：在抓包时就用BPF 过滤器只保留感兴趣的流量，避免内核与用户态之间的大量无效拷贝。例如：
- 仅抓取目的端口为80的 TCP 流量：
sudo tcpdump -i eth0 'tcp dst port 80' -w http_only.pcap
- 仅抓取来自192.168.1.100的 TCP 流量：
sudo tcpdump -i eth0 'tcp and src host 192.168.1.100' -w from_100.pcap
- 必要时启用混杂模式以看到经过接口的所有报文：
sudo ip link set eth0 promisc on（仅在授权范围内使用）。
- 控制抓取规模：尽量写入文件而非终端显示，使用合适的snaplen（如只抓头部）与环形缓冲，减少丢包与 I/O 压力。
二 网卡与内核参数调优
- 增大网卡 RX/TX Ring Buffer，降低在高带宽下的丢包：
- 查看：
ethtool -g eth0
- 调整：
sudo ethtool -G eth0 rx 2048 tx 1024（按实际内存与网卡规格逐步调大，观察是否改善丢包）。
- 提升内核网络 backlog，缓解突发流量时的队列溢出：
- 写入：
echo "net.core.netdev_max_backlog=16384" | sudo tee /etc/sysctl.d/99-sysctl.conf
- 生效：
sudo sysctl -p
- 合理设置MTU：在同一二层域内且设备支持时，可启用**巨帧（MTU 9000）**减少分片、提升吞吐；跨公网或不支持巨帧的链路不建议开启。
- 临时：
sudo ip link set dev eth0 mtu 9000
- 永久：写入对应网卡配置文件（如 ifcfg-eth0）并重启网络服务/接口。
- 抓包进程绑核与中断亲和：将抓包与分析进程绑定到不同 CPU，并将网卡中断亲和到空闲核，减少调度与缓存抖动（需结合
smp_affinity 与 taskset/numactl 实施）。
三 存储与管道优化
- 优先“先落盘再分析”：用tcpdump/tshark直接写pcap文件，后续再用 Wireshark/分析脚本离线处理，避免在抓包路径上做复杂解析。
- 使用环形缓冲与分段写入：长时间抓包时按时间/大小分段（如每小时一个文件），便于滚动分析与避免单文件过大。
- 选择高性能存储：尽量使用本地 NVMe SSD或高性能文件系统，避免抓包文件写入远端 NFS/慢速磁盘导致掉包。
- 减少额外处理链路：抓包时关闭不必要的协议解析与显示过滤，必要时仅保留最小必要字段。
四 监控与迭代优化
- 实时监控抓包与系统资源：用iftop（带宽）、nload（速率）、htop/atop（CPU/内存）、以及sar -n DEV（网卡吞吐）观察是否仍有丢包与瓶颈。
- 结合抓包结果做网络参数优化：根据 RTT、重传、窗口缩放、乱序等指标，调整TCP 窗口大小、拥塞控制算法等系统参数（编辑**/etc/sysctl.conf**后
sysctl -p 生效），并持续复测验证。
- 合法合规与风险控制：抓包涉及隐私与合规，仅限授权环境；避免在生产高峰期长时间全量抓包；不建议为了抓包而关闭 SELinux/Firewalld，必要时采用更精细的策略与临时窗口。