Linux中限制抓包数量和文件大小主要用tcpdump的-c（指定包数）、-C（文件大小轮转）和-s（单包截取长度）参数，配合-w保存为pcap文件。

Linux 中限制抓包数量和文件大小，主要靠 tcpdump 的命令行参数控制，不需要额外工具或脚本。核心是用好 -c（数量）和 -C（文件大小轮转），再配合 -w 保存为二进制 pcap 文件。

限制抓包总数量

使用 -c 参数指定捕获的数据包个数，达到后自动停止：

• sudo tcpdump -i eth0 -c 100 -w capture.pcap：只抓 100 个包，存入 capture.pcap
• 注意：-c 统计的是最终写入文件的包数，不是经过网卡的所有包；过滤表达式生效后再计数
• 适合明确知道只需观察固定交互次数的场景，比如三次握手、一次 HTTP 请求响应循环

限制单个抓包文件大小

用 -C 参数设定每个输出文件的最大字节数（单位是字节），超出后自动创建新文件：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• sudo tcpdump -i eth0 -C 1048576 -w capture.pcap：每个文件最大 1MB（1048576 字节），满后生成 capture_00001.pcap、capture_00002.pcap 等
• 文件名按 5 位数字递增，不会覆盖旧文件，适合长时间监控但磁盘空间有限的情况
• 可与 -c 同时使用，例如 -c 5000 -C 524288 表示“最多抓 5000 包，且每文件不超过 512KB”

控制单包截取长度（间接影响文件体积）

用 -s 参数减少每个包捕获的数据量，能显著压缩文件大小，尤其对大载荷协议（如 HTTPS、文件传输）：

• -s 0：捕获完整包（推荐分析时用，但体积大）
• -s 68：仅捕获基础头部（老版本默认值，省空间但看不到载荷）
• -s 128：含 TCP 选项（如时间戳、窗口缩放），适合连接行为分析
• 实际中可先试 -s 0 抓一小段，用 Wireshark 查看典型包长，再设合理值（如 -s 512 覆盖多数 HTTP 请求头）

组合使用更稳妥

生产环境建议三项并用，兼顾可控性、可读性和存储压力：

• sudo tcpdump -i eth0 -c 5000 -C 2097152 -s 256 -w /var/log/packet/cap.pcap host 192.168.1.100
• 含义：监听 eth0，只抓目标主机 192.168.1.100 的流量；最多 5000 包；每文件上限 2MB；每包最多取前 256 字节；保存到指定路径
• 这样即使网络突发流量，也不会撑爆磁盘，也方便后续用 Wireshark 快速打开查看