Vâng, nó dường như không hoạt động như câu trả lời của MariusMatutiae nói.
tcpdump ...{other options}... -w httpdebug.pcap -W 48 -G 1800 -C 100
$ ls -l
-rw-r--r--. 1 tcpdump tcpdump 100007441 Mar 17 17:57 httpdebug.pcap00
-rw-r--r--. 1 tcpdump tcpdump 46895104 Mar 17 18:02 httpdebug.pcap01
-rw-r--r--. 1 tcpdump tcpdump 93091143 Mar 17 17:47 httpdebug.pcap02
-rw-r--r--. 1 tcpdump tcpdump 5372072 Mar 17 16:17 httpdebug.pcap03
Theo tôi có vẻ như nó có thể thu được càng nhiều -C 100tệp MB càng tốt trong khoảng thời gian 30 phút vì httpdebug.pcap03có dấu thời gian sớm nhất và nó nhỏ hơn 100 MB, vì vậy có vẻ như nó đã bị cắt ở mốc 30 phút. Khi nó đạt 30 phút, nó dường như nhảy trở lại httpdebug.pcap00và tăng số khi nó đạt 100MB. Điều này có nghĩa là nếu bạn có nhiều yêu cầu trong khoảng thời gian 30 phút, bạn sẽ nhận được số httpdebug.pcapXX rất cao. Nếu bạn không bao giờ đạt được nhiều yêu cầu đó trong một khoảng thời gian nữa, những số httpdebug.pcapXX cao đó sẽ không bao giờ bị ghi đè.
Vì vậy, tôi nghĩ rằng các tệp theo chu kỳ trên mỗi lần có nghĩa là thời gian đó -G 1800và nó sẽ quay vòng theo từng -G 1800bước -C 100.
Tôi không chắc liệu có -W 48ảnh hưởng đến nó hay không, nhưng có lẽ nếu bạn nhận được httpdebug.pcap47(đếm bắt đầu từ 0`, nó sẽ ngừng bắt gói tin.
Gần đây, có một vấn đề GitHub được mở về từ ngữ khó hiểu. Họ đã không thay đổi việc thực hiện, nhưng họ đã cố gắng làm cho tài liệu rõ ràng hơn một chút.
Những thay đổi được đề xuất đã được hợp nhất vào ngày 28 tháng 1 năm 2019 .
Kể từ hôm nay, ngày 17 tháng 3 năm 2019, đây là tài liệu hiện tại:
-C:
.BI \-C " file_size"
Before writing a raw packet to a savefile, check whether the file is
currently larger than \fIfile_size\fP and, if so, close the current
savefile and open a new one. Savefiles after the first savefile will
have the name specified with the
.B \-w
flag, with a number after it, starting at 1 and continuing upward.
The units of \fIfile_size\fP are millions of bytes (1,000,000 bytes,
not 1,048,576 bytes).
-G:
.BI \-G " rotate_seconds"
If specified, rotates the dump file specified with the
.B \-w
option every \fIrotate_seconds\fP seconds.
Savefiles will have the name specified by
.B \-w
which should include a time format as defined by
.BR strftime (3).
If no time format is specified, each new file will overwrite the previous.
Whenever a generated filename is not unique, tcpdump will overwrite the
preexisting data; providing a time specification that is coarser than the
capture period is therefore not advised.
.IP
If used in conjunction with the
.B \-C
option, filenames will take the form of `\fIfile\fP<count>'.
-W:
.B \-W
Used in conjunction with the
.B \-C
option, this will limit the number
of files created to the specified number, and begin overwriting files
from the beginning, thus creating a 'rotating' buffer.
In addition, it will name
the files with enough leading 0s to support the maximum number of
files, allowing them to sort correctly.
.IP
Used in conjunction with the
.B \-G
option, this will limit the number of rotated dump files that get
created, exiting with status 0 when reaching the limit.
.IP
If used in conjunction with both
.B \-C
and
.B \-G,
the
.B \-W
option will currently be ignored, and will only affect the file name.
Tôi vẫn nghĩ rằng nó hơi khó hiểu, nhưng tôi đoán sự khác biệt từ kết luận của tôi ở trên, là nó nói -Wkhi được sử dụng -C -Gkhông ảnh hưởng gì đến tên tệp.
Nói chung, -Wđược sử dụng để giới hạn số lượng tệp. Vì vậy, đừng sử dụng nó nếu bạn muốn chụp vô thời hạn.