是否可以轮换 tcpdump 日志？

Question

我有以下命令： sudo tcpdump -ni enp0s3 -W 1 -C 1 -w file.cap 我用这个命令说：“监听网络接口 enp0s3 并捕获最大大小必须为 1 mb 的文件中的所有数据包”。它有效，但问题是当文件达到 1mb 大小时，它被重置并且捕获从 0 kb 重新开始，删除所有数据包。 我希望当文件为 1MB 时，只删除旧包并添加新包来替换它们。我不想删除所有数据包并在 0kb 处重新开始采集。换句话说，我希望文件始终在 1mb 左右，添加新的传入数据包代替最旧的数据包。

Answer 1

您可以使用 -U -W 2 和 -C size 限制。然后它将在两个文件之间交替，您可以将它们连接起来（或处理旧文件）。

备选方案是写入流或管道而不是文件。