Linux上用tcpdump长期捕获报文的操作方法

命令：tcpdump -i eth1 -s 0 -w k.cap &

最后增加&是为了使此命令在后台长期执行，否则关闭ssh client之后tcpdump命令就会自行停止。

之后重新登录linux，执行下面操作-bash-3.00# ps -ef|grep tcpdump
pcap 3660 1 0 10:48 ? 00:00:00 tcpdump -i eth1 -s 0 -w k.cap
root 3721 3680 0 10:48 pts/1 00:00:00 grep tcpdump

-bash-3.00# kill 3660

-bash-3.00# ls -l
-rw-r--r-- 1 root root 33714 Mar 29 10:49 k.cap

将此报文下载到本地即可进行分析。补充说明：-s 0表示捕获报文的大小不做限制。使用此命令必须注意硬盘剩余空间(df -h)，以免文件过大影响系统的正常使用。