Debian系统dumpcap如何快速上手

在 Debian 系统上，dumpcap 是 Wireshark 套件里负责抓包的底层工具，比 tshark/wireshark 更轻量、更适合自动化。下面给你一份快速上手指南（从安装到常用实战）。

一、安装 dumpcap

sudo apt update
sudo apt install dumpcap

安装后二进制位置通常是：

/usr/bin/dumpcap

如果你是普通用户抓包，需要权限（见下文）

二、权限配置（很重要）

方法 1：加入 wireshark 组（推荐）

sudo usermod -aG wireshark $USER

然后重新登录或：

newgrp wireshark

检查：

dumpcap -D

方法 2：直接用 root（简单但不推荐）

sudo dumpcap ...

三、查看可用网卡

dumpcap -D

示例输出：

1. eth0
2. lo
3. any

四、最基础的抓包命令

抓 eth0，保存为 pcapng

dumpcap -i eth0 -w capture.pcapng

• -i：网卡
• -w：输出文件

按 Ctrl+C 停止

五、常用实用参数（重点）

1️⃣ 限制抓包数量

dumpcap -i eth0 -c 100 -w test.pcapng

抓 100 个包就停

2️⃣ 限制文件大小

dumpcap -i eth0 -C 10 -w test.pcapng

单个文件最大 10 MB

3️⃣ 自动轮转文件（非常实用）

dumpcap -i eth0 -C 10 -W 5 -w test.pcapng

• 每个文件 10MB
• 最多 5 个文件（循环覆盖）

4️⃣ 抓指定时间

dumpcap -i eth0 -a duration:60 -w test.pcapng

抓 60 秒

5️⃣ 指定抓包长度

dumpcap -i eth0 -s 96 -w test.pcapng

只抓前 96 字节（适合只看头）

六、结合抓包过滤（capture filter）

⚠️ dumpcap 不支持显示过滤（display filter）

只抓 TCP

dumpcap -i eth0 -f "tcp" -w tcp.pcapng

只抓某 IP

dumpcap -i eth0 -f "host 192.168.1.10" -w ip.pcapng

某端口

dumpcap -i eth0 -f "port 80" -w http.pcapng

七、后台运行（生产环境常用）

nohup dumpcap -i eth0 -C 50 -W 10 -w /data/cap.pcapng &

查看：

ps aux | grep dumpcap

八、用 Wireshark 分析

把文件拷出来：

scp capture.pcapng user@pc:/tmp/

然后：

wireshark /tmp/capture.pcapng

九、快速对照表

如果你愿意，我可以：

• 给你 systemd 自动抓包方案
• 教你 dumpcap + tshark 联动
• 或针对 容器 / 云服务器 / 抓 HTTP/DNS 给示例

你现在主要用在什么场景？