在 Debian 上，dumpcap 是 Wireshark 自带的抓包工具，通常用于以高权限抓包并把数据存成文件。下面按常见用法说明怎么存文件。
最简单的方式是把抓到的包直接写入文件：
sudo dumpcap -i eth0 -w capture.pcap
参数说明：
-i eth0：监听的网卡（用 ip addr 或 dumpcap -D 查看）-w capture.pcap：把抓包结果写入 capture.pcap按 Ctrl+C 停止抓包。
抓 100 个包就停：
sudo dumpcap -i eth0 -c 100 -w capture.pcap
sudo dumpcap -i eth0 -w capture.pcap -b filesize:10000
（单位是 KB，10000 = 10MB）
sudo dumpcap -i eth0 -w capture_%Y%m%d%H%M%S.pcap -b duration:60
保留最近 5 个文件：
sudo dumpcap -i eth0 -w capture.pcap -b files:5
dumpcap -D
或
sudo dumpcap -D
Debian 下直接运行可能没权限：
sudo dumpcap ...
或者把用户加到 wireshark 组：
sudo usermod -aG wireshark $USER
然后重新登录。
默认是 pcapng，可被 Wireshark 直接打开。
sudo dumpcap -i eth0 -w /var/captures/eth0.pcap -b filesize:50000 -b files:10
含义：
eth0/var/captures/如果你是想：
可以告诉我具体场景，我可以给你更精确的命令。
