Debian dumpcap抓包速度慢怎么办

在 Debian 上 dumpcap 抓包慢，通常不是 dumpcap 本身的问题，而是 系统/网卡/权限/配置 导致的。下面按 最常见 → 较少见 的顺序给你排查和优化建议。

一、最常见原因 & 解决方案

✅ 1. dumpcap 没有权限，回退到普通 socket（慢）

dumpcap 抓包需要 raw socket / PF_PACKET 权限。

检查方式

getcap /usr/bin/dumpcap

正确做法（推荐）

sudo setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap

然后 不要用 sudo dumpcap，直接用普通用户运行：

dumpcap -i eth0

✅ 这是 最常见导致“慢”的原因

✅ 2. 网卡没有开启混杂模式（Promiscuous）

ip link show eth0

如果没有 PROMISC，手动开启：

sudo ip link set eth0 promisc on

✅ 3. 抓包接口选错（一定要用真实网卡）

常见错误：

• 用了 any
• 用了 lo
• 用了 bond / bridge 接口

✅ 推荐：

dumpcap -D

然后明确指定：

dumpcap -i eth0

二、性能优化（非常重要）

✅ 4. 使用 零拷贝 + mmap（Linux 默认已支持）

dumpcap 会自动使用 TPACKET_V3，但需要：

sudo ethtool -k eth0 | grep receive

确保：

• rx-checksumming: on
• gro: off（见下）

✅ 5. 关闭 GRO / LRO（抓包性能杀手）

GSO/GRO 会把多个包合并，dumpcap 需要拆包，非常慢。

sudo ethtool -K eth0 gro off
sudo ethtool -K eth0 lro off

✅ 这是 高速抓包必做

✅ 6. 增加 ring buffer（防止丢包）

sudo ethtool -G eth0 rx 4096

查看：

ethtool -g eth0

三、dumpcap 参数优化

✅ 7. 限制抓包数量 & 大小

dumpcap -i eth0 -s 96 -w test.pcap

• -s 96：抓前 96 字节（HTTP/DNS 完全够）
• 避免抓全包（1514）

✅ 8. 关闭名字解析（非常影响速度）

dumpcap -n -i eth0

✅ 9. 使用多个文件（防止单文件锁）

dumpcap -i eth0 -w /tmp/cap-%n.pcap -b filesize:100000

四、系统层面优化（高流量场景）

✅ 10. 调整内核参数

sudo sysctl -w net.core.rmem_max=134217728
sudo sysctl -w net.core.rmem_default=134217728
sudo sysctl -w net.core.netdev_max_backlog=30000

✅ 11. CPU 亲和性（绑定网卡中断）

cat /proc/interrupts | grep eth

然后用 irqbalance 或手动绑定 CPU。

五、确认是否真的“慢”

看 dumpcap 是否丢包

dumpcap -i eth0 -w test.pcap

抓完后：

capinfos test.pcap

如果看到：

Packets dropped: xxx

说明是 内核来不及收包，不是 dumpcap 慢。

六、终极方案（10Gbps / 高流量）

✅ 最推荐的一套“标准优化命令”

sudo setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap
sudo ethtool -K eth0 gro off
sudo ethtool -G eth0 rx 4096
dumpcap -n -i eth0 -s 96 -w test.pcap

如果你愿意，可以把下面信息发我，我可以 精确判断瓶颈：

1. Debian 版本
2. 网卡型号
3. 流量大小（Mbps / pps）
4. dumpcap 命令
5. 是否看到 Packets dropped

我可以直接给你一套 针对你机器的参数。