Linux中dumpcap如何篩選數據包

在Linux中，dumpcap 是一個非常強大的命令行工具，用于捕獲網絡數據包。如果你想要篩選數據包，可以使用 -w 選項將捕獲的數據包寫入文件，然后使用 wireshark 或 tshark 等工具進行篩選和分析。

以下是一些使用 dumpcap 篩選數據包的方法：

1. 使用 -i 選項指定要捕獲的網絡接口。例如，要捕獲名為 eth0 的接口上的數據包，請運行以下命令：

sudo dumpcap -i eth0

2. 使用 -w 選項將捕獲的數據包寫入文件。例如，要將捕獲的數據包保存到名為 output.pcap 的文件中，請運行以下命令：

sudo dumpcap -i eth0 -w output.pcap

3. 使用 -c 選項指定要捕獲的數據包數量。例如，要捕獲前100個數據包，請運行以下命令：

sudo dumpcap -i eth0 -w output.pcap -c 100

4. 使用 -C 選項指定每個文件的最大大小。例如，要將每個文件的大小限制為10MB，請運行以下命令：

sudo dumpcap -i eth0 -w output.pcap -C 10

5. 使用 -G 選項設置捕獲時間間隔。例如，要每10秒創建一個新文件，請運行以下命令：

sudo dumpcap -i eth0 -w output_%Y-%m-%d_%H-%M-%S.pcap -G 10

6. 使用 tshark 工具對捕獲的數據包進行篩選。例如，要從名為 output.pcap 的文件中篩選出與TCP端口80相關的數據包，請運行以下命令：

tshark -r output.pcap -Y "tcp.port == 80"

這里，-r 選項表示讀取文件，-Y 選項表示顯示過濾器表達式。

你可以根據需要組合這些選項來篩選和分析數據包。更多關于 dumpcap 和 tshark 的信息，請參閱官方文檔：

• dumpcap: https://www.wireshark.org/docs/wsug_html_chunked/ChCapture.html
• tshark: https://www.wireshark.org/docs/wsug_html_chunked/ChIntroTShark.html