Ubuntu 下 Dumpcap 的高级功能与用法
一 捕获过滤与显示控制
- 使用 -f 指定捕获过滤器，精准限定流量，例如仅抓取 HTTP：-f “tcp port 80”。
- 使用 -n / -nn 控制名称解析：-n 不解析地址和端口名，-nn 同时不解析协议名，显著降低开销并提升性能。
- 使用 -e 保留链路层头部信息，便于底层分析。
- 使用 -P 将数据包输出到终端/标准输出（适合管道处理），例如与 tcpdump 联动：dumpcap -i eth0 -P -w - ‘port 80’ | tcpdump -r -。
- 使用 -q 进入安静模式，减少控制台输出，适合长时间后台抓包。
二 文件轮转与多文件管理
- 按大小轮转：用 -C 设置单个文件上限（单位MB），达到上限自动新建文件。
- 按时间轮转：用 -G 设置时间间隔轮转。
- 文件数量限制：用 -W 设置最大保留文件数，超出后按策略覆盖旧文件。
- 组合示例：按大小与数量同时限制，保留最近 5 个、每个 100 MB 的轮转文件：-C 100 -W 5；按时间轮转：-G 3600（每 1 小时新建一个文件）。
三 性能优化与资源控制
- 增大内核/驱动层环形缓冲区：用 -B 提升突发流量下的丢包抗性，例如 -B 1024000（约 1 GB）。
- 精准过滤减少内核拷贝与用户态处理：结合 -f 与合适的接口，例如 -f “tcp port 80”。
- 降低解析开销：使用 -n/-nn 关闭名称解析。
- 降低控制台开销：使用 -q 静默模式。
- 提升 I/O 效率：将输出写入高速 SSD、合理设置轮转参数，必要时对历史文件进行gzip 压缩归档。
- 并行捕获：在多核/多队列网卡上，可并行启动多个 dumpcap 进程分别写不同文件，提高总体吞吐。
四 时间格式与输出格式控制
- 时间戳格式：用 -t 定制时间输出样式，如 ad-dec、iso-8859-1、windows-1252 等，便于对接不同分析工具或合规要求。
- 输出文件格式：用 -T 指定输出格式，如 pcap、pcapng、csv、json 等；例如 -T json 生成结构化输出，便于程序化分析。
五 权限与可用性提示
- 多数场景需要管理员权限（如访问网卡、开启混杂模式），建议使用 sudo 运行。
- 参数与功能会随 版本 变化，优先查阅本机手册：man dumpcap。
- 长时间运行前务必检查磁盘空间与文件轮转策略，避免磁盘写满导致丢包或进程异常。
