1. 安装dumpcap
在CentOS上，dumpcap通常包含在Wireshark套件中，可通过以下命令安装：
# 更新系统包并安装EPEL仓库（若未安装）
sudo yum update -y
sudo yum install epel-release -y
# 安装Wireshark（包含dumpcap）
sudo yum install wireshark wireshark-cli -y
# 可选：启动并启用Wireshark服务（图形界面支持）
sudo systemctl start wireshark
sudo systemctl enable wireshark
安装完成后，通过dumpcap --version验证是否成功。
2. 基本抓包命令
捕获所有接口流量并保存到文件：
sudo dumpcap -i any -w capture.pcap
-i any表示监听所有网络接口，-w capture.pcap指定输出文件（默认格式为.pcapng）。
捕获特定接口流量：
替换eth0为实际接口名（可通过dumpcap -D查看可用接口）：
sudo dumpcap -i eth0 -w eth0_traffic.pcap
限制抓包数量：
使用-c参数设置最大数据包数量，例如捕获100个包后自动停止：
sudo dumpcap -i any -c 100 -w limit_100.pcap
3. 高级过滤与控制
捕获过滤器（BPF语法）：
在抓包时直接过滤流量，减少不必要的数据写入。例如：
sudo dumpcap -i any -w http.pcap 'tcp port 80'
sudo dumpcap -i any -w udp.pcap 'udp'
环缓冲区（Ring Buffer）：
使用-b参数创建多个捕获文件，支持按时间、大小或文件数量轮转。例如：
sudo dumpcap -i any -b filesize:100000 -b files:5 -w ring_buffer.pcap
sudo dumpcap -i any -b duration:30 -w time_based.pcap
混杂模式：
使用-P参数启用混杂模式，捕获所有经过接口的流量（而不仅是发给本机的数据包）：
sudo dumpcap -i eth0 -P -w promiscuous.pcap
4. 实时查看与调试
实时查看抓包结果：
使用-l参数开启行缓冲，结合tshark实时解析流量（需安装tshark）：
sudo dumpcap -i any -l | tshark -r -
这样可以实时看到数据包的源/目的地址、协议、端口等信息。
查看可用接口：
使用-D参数列出所有可捕获的接口，便于选择：
dumpcap -D
输出示例：
1. eth0 (Ethernet interface)
2. wlan0 (Wireless interface)
3. lo (Loopback interface)
5. 权限与优化技巧
权限配置：
dumpcap需要root权限才能捕获流量。若不想每次用sudo，可将当前用户加入wireshark组：
sudo usermod -aG wireshark $USER
sudo chmod 4755 /usr/sbin/dumpcap # 修改dumpcap权限（允许组用户执行）
注销并重新登录后生效。
调整缓冲区大小：
使用-B参数增加捕获缓冲区大小（默认2MB），减少丢包率（尤其在高流量场景）：
sudo dumpcap -i eth0 -B 4 -w large_buffer.pcap
缓冲区大小单位为MiB，可根据需求调整（如4、8、16）。
6. 读取与分析抓包文件
读取本地.pcap文件：
使用-r参数读取已保存的抓包文件：
dumpcap -r capture.pcap
结合-q参数可减少输出信息，-v参数显示详细内容。
结合Wireshark分析：
用Wireshark图形界面打开.pcap文件，进行更深入的分析（如过滤、统计、可视化）：
wireshark capture.pcap
注意事项
-b filesize:100000）或数量（如-c 1000），避免磁盘满。-G参数按时间轮转文件（如每600秒一个文件），便于归档分析。
