Ja, es scheint nicht zu funktionieren, wie die Antwort von Marius Matutiae sagt.
tcpdump ...{other options}... -w httpdebug.pcap -W 48 -G 1800 -C 100
$ ls -l
-rw-r--r--. 1 tcpdump tcpdump 100007441 Mar 17 17:57 httpdebug.pcap00
-rw-r--r--. 1 tcpdump tcpdump 46895104 Mar 17 18:02 httpdebug.pcap01
-rw-r--r--. 1 tcpdump tcpdump 93091143 Mar 17 17:47 httpdebug.pcap02
-rw-r--r--. 1 tcpdump tcpdump 5372072 Mar 17 16:17 httpdebug.pcap03
Es sieht für mich so aus, als würde -C 100es in einem Zeitraum von 30 Minuten so viele MB-Dateien wie möglich erfassen, da httpdebug.pcap03es den frühesten Zeitstempel hat und viel kleiner als 100 MB ist. Es scheint also, als wäre es bei einer 30-Minuten-Marke geschnitten worden. Sobald es 30 Minuten erreicht hat, scheint es zurück zu springen httpdebug.pcap00und die Zahl zu erhöhen, wenn es 100 MB erreicht. Dies bedeutet, dass Sie, wenn Sie innerhalb von 30 Minuten viele Anfragen haben, sehr hohe httpdebug.pcapXX-Zahlen erhalten. Wenn Sie in einem Zeitraum nie mehr so viele Anfragen erreichen, werden diese hohen httpdebug.pcapXX-Zahlen nie mehr überschrieben.
Ich denke also, dass zyklische Dateien pro Zeitscheibe bedeuten, dass die Zeitscheibe ist -G 1800und sie alle zyklisch -G 1800und inkrementiert -C 100.
Ich bin mir nicht sicher, ob dies -W 48Auswirkungen hat, aber wenn Sie dazu kommen httpdebug.pcap47(die Zählung beginnt bei 0 ", werden keine Pakete mehr erfasst.
Vor kurzem wurde ein GitHub-Problem mit dem verwirrenden Wortlaut eröffnet. Sie haben die Implementierung nicht geändert, aber sie haben versucht, die Dokumentation ein wenig klarer zu gestalten.
Die vorgeschlagenen Änderungen wurden am 28. Januar 2019 zusammengeführt .
Ab heute, dem 17. März 2019, ist hier die aktuelle Dokumentation:
-C::
.BI \-C " file_size"
Before writing a raw packet to a savefile, check whether the file is
currently larger than \fIfile_size\fP and, if so, close the current
savefile and open a new one. Savefiles after the first savefile will
have the name specified with the
.B \-w
flag, with a number after it, starting at 1 and continuing upward.
The units of \fIfile_size\fP are millions of bytes (1,000,000 bytes,
not 1,048,576 bytes).
-G::
.BI \-G " rotate_seconds"
If specified, rotates the dump file specified with the
.B \-w
option every \fIrotate_seconds\fP seconds.
Savefiles will have the name specified by
.B \-w
which should include a time format as defined by
.BR strftime (3).
If no time format is specified, each new file will overwrite the previous.
Whenever a generated filename is not unique, tcpdump will overwrite the
preexisting data; providing a time specification that is coarser than the
capture period is therefore not advised.
.IP
If used in conjunction with the
.B \-C
option, filenames will take the form of `\fIfile\fP<count>'.
-W::
.B \-W
Used in conjunction with the
.B \-C
option, this will limit the number
of files created to the specified number, and begin overwriting files
from the beginning, thus creating a 'rotating' buffer.
In addition, it will name
the files with enough leading 0s to support the maximum number of
files, allowing them to sort correctly.
.IP
Used in conjunction with the
.B \-G
option, this will limit the number of rotated dump files that get
created, exiting with status 0 when reaching the limit.
.IP
If used in conjunction with both
.B \-C
and
.B \-G,
the
.B \-W
option will currently be ignored, and will only affect the file name.
Ich denke immer noch, dass es ein wenig verwirrend ist, aber ich denke, der Unterschied zu meiner obigen Schlussfolgerung besteht darin, dass es besagt, -Wdass die Verwendung mit -C -Gnichts anderes als den Dateinamen beeinflusst.
Wird im Allgemeinen -Wzum Begrenzen der Anzahl von Dateien verwendet. Verwenden Sie es also nicht, wenn Sie unbegrenzt erfassen möchten.