dumpcap怎样进行实时捕获

dumpcap 是 Wireshark 套件里一个相当硬核的命令行工具，专门用来抓取网络数据包。想用它做实时捕获？其实并不复杂，关键就是选对参数。

最基本的操作是这样：指定一个网络接口，然后把抓到的包存成文件。比如：

dumpcap -i eth0 -w output.pcap

这里 -i eth0 告诉工具监听哪个网卡（假设你用的是 eth0），-w output.pcap 则把数据写入文件。但如果你不想等抓完再分析，而是希望命令行里实时看到每个包的信息，那就得加上 -l 选项。这个参数会让 dumpcap 在抓到包后立刻刷新输出，效果就像实时监控一样：

dumpcap -i eth0 -l -w output.pcap

当然，现实场景中往往需要更精细的控制。比如，你可以调整缓冲区大小（-B），或者让文件在达到指定大小时自动切割（-C），甚至按时间间隔轮转文件（-G）。还有几个常用选项：-q 是安静模式，能减少终端输出的干扰；-s 则用来限制每个数据包的最大捕获长度。

举个例子，如果你希望每10秒生成一个新文件，并且每个文件最大不超过1GB，可以这样写：

dumpcap -i eth0 -C 1000000000 -G 10 -w output_%d.pcap

需要提醒的是，抓包通常需要管理员权限（root 或 sudo），否则系统可能不允许你直接访问网络接口。另外，如果系统里还没装 Wireshark 套件，记得先安装一下，否则 dumpcap 命令是找不到的。