tcpdump通过-b参数设置libpcap用户态缓冲区大小（单位kb），防止高速流量下丢包；需同步调大内核net.core.rmem_max，并配合-s 0、精确过滤及高效输出以提升抓包稳定性。
tcpdump 本身不直接管理“抓包缓冲区的内存分配大小”，它依赖底层 libpcap 和内核的 packet capture 机制，真正起作用的是 内核接收缓冲区（ring buffer） 和 tcpdump 的 -B 参数——这个参数用于设置 libpcap 分配的用户空间缓冲区大小（单位 KB），直接影响是否丢包。
用 -B 参数调整用户侧缓冲区
当网络流量高速涌入、而 tcpdump 处理或写入磁盘速度跟不上时，内核 ring buffer 满了就会丢包。-B 可扩大 libpcap 在用户态申请的缓冲区，缓解这一问题：
- 语法：tcpdump -i eth0 -B 8192 ...
- 含义：请求 libpcap 分配至少 8192 KB（即 8 MB）的缓冲区空间
- 注意：实际分配可能略高于指定值，且受系统 ulimit -l（锁定内存限制）约束；若权限不足或超限，tcpdump 会降级使用默认值并警告
配合调大内核 socket 缓冲区（可选但关键）
-B 只管用户态，真正承压的是内核的接收队列。建议同步增大：
- 临时生效：sudo sysctl -w net.core.rmem_max=33554432（32MB）
- 永久生效：在 /etc/sysctl.conf 中添加 net.core.rmem_max = 33554432
- 验证当前值：sysctl net.core.rmem_max
其他影响缓冲效果的关键设置
光调 -B 不够，还需协同优化：
- -s 0：避免截断数据包（否则小包也占满缓冲，浪费空间）
- 过滤越精确越好：比如只抓特定端口或 IP，减少无用包进入缓冲区
- 输出目标要快：写 SSD 或使用 -w 直接存二进制，比实时解析（-X/-v）+ 终端打印更稳
- 避免高负载干扰：关闭无关进程，确保 CPU/IO 资源充足
