按时间和大小限制tcpdump捕获文件

我有一些问题得到tcpdumplogin所有的互联网stream量的接口有以下限制:

  • 我想每个小时都有一个新的pcap文件,名称中包含时间和date标签
  • 如果在这个小时内的pcap文件变得大于100M,那么使用与之前相同的名称创build一个新的pcap文件,但带有-2 -3 -4 …后缀。

我正在玩下面的命令:

tcpdump -pni eth0 -s65535 -G 3600 -C 100 -w'/var/log/tcpdump/trace_%Y-%m-%d_%H:%M:%S.pcap'

因此,我确实每小时都会得到一个日志文件,但是如果文件大于100,它似乎不会分裂文件。

有谁知道我在搞什么? 欢呼的帮助

你的命令应该可以工作,也许有一个错误。

使用tshark(wireshark包)来代替:

tshark -i eth0 -b duration:3600 -b filesize:102400 -s 65535 -w trace.pcap

创build的文件名是基于与-w选项给出的文件名,文件的编号和创builddate和时间,例如outfile_00001_20050604120117.pcap,outfile_00002_20050604120523.pcap,…