tcpdump不支持直接按绝对时间范围捕获，但可通过三种方式实现：实时启停控制、-g/-w固定时长轮转捕获、editcap对已有pcap时间切片；其中-g n与-w 1组合最稳定，适合“抓接下来n秒”场景。
tcpdump 本身不支持直接按绝对时间范围（比如“2026-09-16 10:00:00 到 10:05:00”）启动捕获，但有三种实用方式实现指定时间段的流量过滤：实时控制启停、固定时长轮转捕获、或对已有 pcap 文件做时间切片。
用 -G 和 -W 实现固定时长捕获
这是最稳定、无需额外依赖的方法，适合“抓接下来 N 秒”的场景：
-
-G N：每 N 秒新建一个 pcap 文件，文件名自动带 Unix 时间戳（如
capture-1726481280.pcap） - -W 1：只保留最新一个文件，旧文件被覆盖
- 例如抓未来 180 秒的全部流量：
sudo tcpdump -i eth0 -w capture.pcap -G 180 -W 1
运行后等待 180 秒再 Ctrl+C，此时capture.pcap就是这整段时间的数据
用 shell 时间判断实现精确启停
若需在某个具体时间点开始并结束（如今天 10:10:00 到 10:12:30），可用脚本配合 date 控制：
- 先算出起止时间戳：
start=$(date -d "today 10:10:00" +%s)<br>end=$((start + 150))
- 后台启动抓包：
sudo tcpdump -i eth0 -w window.pcap &<br>pid=$!
- 等待到截止时间后自动终止：
while [ $(date +%s) -lt $end ]; do sleep 1; done<br>kill $pid
用 editcap 对已有 pcap 提取时间子集
如果已经有一个长时间捕获的 pcap 文件，想从中截取某段时间，editcap（Wireshark 工具集自带）最直接：
- 提取从 2026-09-16 10:05:20 开始、持续 60 秒的数据：
editcap -A "2026-09-16 10:05:20" -B "2026-09-16 10:06:20" full.pcap window.pcap - 注意：
-A是包含起始时间，-B是包含截止时间，格式必须与 pcap 中时间戳一致（通常为YYYY-MM-DD HH:MM:SS）
不复杂但容易忽略：所有方式都依赖系统时间准确；若需高精度（毫秒级），建议用 -tttt 输出时间戳辅助验证，或优先采用 editcap 后处理——它对时间解析更严谨。
