linux - 是否可以旋转 tcpdump 日志？

Question

我有以下命令： sudo tcpdump -ni enp0s3 -W 1 -C 1 -w file.cap 用这个命令我说：“在网络接口 enp0s3 上侦听并捕获最大大小必须为 1 mb 的文件中的所有数据包” . 它可以工作，但问题是当文件达到 1mb 的大小时，它会被重置，并且从 0 kb 重新开始捕获，删除所有数据包。我希望当文件为 1MB 时，只删除旧包并添加新包以替换它们。我不希望删除所有数据包并在 0kb 处重新开始采集。换句话说，我希望文件总是在 1mb 左右，添加新的传入数据包来代替最旧的数据包。

标签： linuxfilepacketpcaptcpdump

Answer 1

您可以使用-U -W 2限制-C size。然后它将在两个文件之间交替，您可以将它们连接起来（或处理旧文件）。

替代方法是写入流或管道，而不是文件。