dumpcap在debian卡住为何

在 Debian 上 dumpcap 卡住（无响应 / 不抓包 / 阻塞） 是比较常见的问题，通常不是 dumpcap 本身 bug，而是环境或参数导致。下面按最常见原因 → 排查方法给你说明。

一、最常见原因

1️⃣ 权限不足（CAP_NET_RAW / CAP_NET_ADMIN）

dumpcap 需要直接抓包权限。

现象

• 启动后卡住
• 无输出
• 用 root 能跑，普通用户卡死

解决

sudo setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap

或用 root 运行测试：

sudo dumpcap -i eth0

2️⃣ 网卡处于“非混杂模式”或不可用

现象

• 卡在 Capturing on ...
• 实际无包

检查

ip link show eth0

确保：

• UP
• 不是 loopback 被误选

测试

sudo dumpcap -i any

3️⃣ 接口名错误（尤其在 Debian + systemd）

Debian 可能使用：

• ens33
• enp0s3
• eth0（老版本）

错误示例（会卡住）

dumpcap -i eth0   # 实际不存在

查看真实接口

ip a

4️⃣ 磁盘 I/O 阻塞（写文件卡死）

现象

• 抓一会儿卡住
• CPU 正常但无新文件

原因

• 写慢速磁盘
• -w 文件所在分区满了

测试

sudo dumpcap -i eth0 -w /tmp/test.pcap

5️⃣ 内核 / libpcap 版本不兼容

Debian 升级后常见。

检查

dumpcap --version
apt list --installed | grep libpcap

解决

sudo apt update
sudo apt install --reinstall dumpcap libpcap0.8

6️⃣ 虚拟化环境（VMware / KVM / Docker）

• 网卡不支持 promisc
• 虚拟交换机限制

解决

• 宿主机抓
• 或加：

sudo dumpcap -i eth0 -p

二、快速排查流程（推荐）

# 1. 看接口
ip a

# 2. root 测试
sudo dumpcap -i <真实接口>

# 3. 抓到文件
sudo dumpcap -i <接口> -w /tmp/t.pcap

# 4. 看是否有包
tcpdump -i <接口>

三、典型“卡住”示例对照

如果你愿意，可以贴：

• Debian 版本
• dumpcap -i xxx 的完整输出
• 是否在 Docker / 虚拟机

我可以直接帮你定位是哪一类问题。