debian dumpcap如何存文件

在 Debian 系统里，dumpcap 是 Wireshark 附带的抓包工具（通常以 root 或特权用户运行）。下面介绍几种常见的 保存抓包文件 方式。

1. 基本保存为 pcap 文件

sudo dumpcap -i eth0 -w capture.pcap

• -i eth0：监听网卡（可用 ip link 查看）
• -w capture.pcap：保存到文件

按 Ctrl + C 停止抓包。

2. 限制文件大小（自动切分）

单个文件最大 100 MB

sudo dumpcap -i eth0 -w capture.pcap -b filesize:100000

每 100 MB 切一个新文件

sudo dumpcap -i eth0 -w capture_%03d.pcap -b filesize:100000

3. 限制文件数量（循环保存）

最多保存 5 个文件，循环覆盖：

sudo dumpcap -i eth0 -w capture.pcap -b files:5

4. 按时间切分文件

每 60 秒生成一个新文件：

sudo dumpcap -i eth0 -w capture_%Y%m%d_%H%M%S.pcap -b duration:60

5. 限制抓包数量或时间

只抓 1000 个包

sudo dumpcap -i eth0 -w capture.pcap -c 1000

抓 30 秒

sudo timeout 30 dumpcap -i eth0 -w capture.pcap

6. 保存为 pcapng（默认格式）

dumpcap 默认就是 pcapng：

sudo dumpcap -i eth0 -w capture.pcapng

可用 Wireshark 直接打开。

7. 权限问题（常见）

如果提示无权限：

sudo dumpcap -i eth0 -w capture.pcap

或添加权限：

sudo setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap

8. 查看可用网卡

dumpcap -D

如果你有具体需求（比如 长期抓包 / 远程保存 / 容器里用 / 只抓某 IP），可以告诉我，我可以给你更精确的命令。