在Ubuntu系统中，dumpcap 是Wireshark套件中的一个命令行工具，用于捕获网络流量。要配置 dumpcap 的捕获规则，你可以使用 -c 或 --capture_filter 选项来指定一个BPF（Berkeley Packet Filter）表达式，该表达式定义了哪些数据包应该被捕获。
以下是如何使用 dumpcap 配置捕获规则的步骤：
打开终端：首先，你需要打开一个终端窗口。
确定网络接口：在开始捕获之前，你需要知道要监听的网络接口名称。你可以使用 ifconfig 或 ip link 命令来列出所有可用的网络接口。
ifconfig -a
或者
ip link show
选择捕获接口：确定你要捕获数据包的网络接口后，记下它的名称。例如，如果接口名称是 eth0。
设置捕获规则：使用 -c 或 --capture_filter 选项来指定BPF表达式。例如，如果你只想捕获TCP流量，可以使用以下命令：
sudo dumpcap -i eth0 -c "tcp"
如果你想捕获特定IP地址的流量，可以使用如下命令：
sudo dumpcap -i eth0 -c "host 192.168.1.100"
你可以根据需要组合多个条件来创建更复杂的捕获规则。
开始捕获：一旦你设置了捕获规则，dumpcap 将开始捕获匹配的数据包。默认情况下，dumpcap 会捕获前68个数据包，然后退出。如果你想捕获更多的数据包，可以使用 -C 选项指定一个数字来设置最大捕获的数据包数量，或者不使用 -C 选项来捕获无限数量的数据包。
sudo dumpcap -i eth0 -c "tcp" -C 1000
这将捕获最多1000个TCP数据包。
保存捕获的数据：如果你想将捕获的数据保存到文件中，可以使用 -w 或 --file 选项指定输出文件的名称。
sudo dumpcap -i eth0 -c "tcp" -w output.pcap
请注意，使用 dumpcap 捕获网络流量通常需要管理员权限，因此你可能需要使用 sudo 来运行上述命令。
此外，如果你想要更高级的捕获规则和实时分析，你可以考虑使用Wireshark图形界面工具，它提供了更直观的方式来设置捕获规则和分析捕获的数据包。