tcpdump：文件大小无效

Question

我正在尝试运行文件大小为 4096 的 tcpdump 命令，但它返回错误：-

tcpdump：文件大小无效

命令：- tcpdump -i any -nn -tttt -s0 -w %d-%m-%Y_%H:%M:%S:%s_hostname_ipv6.pcap -G 60 -C 4096 端口 53

经过一些点击和试用后，我发现文件大小（4096 即 2^12）（8192 即 2^13）等失败。

所以，对于 2^11 之后的文件大小，它给了我无效的文件大小错误。

谁能告诉我 tcpdump 在什么情况下返回无效的文件大小。

当我使用文件大小运行时：- 100000

tcpdump -i any -nn -tttt -s0 -w %d-%m-%Y_%H:%M:%S:%s_hostname_ipv6.pcap -G 60 -C 100000 53端口

正在创建最大大小为 1.3GB 的.pcap 文件。

我也尝试查看 tcpdump 的源代码，但找不到太多。

Answer 1

我正在尝试运行文件大小为 4096 的 tcpdump 命令

引用最新版本的 tcpdump 手册页：

   -C file_size
          Before writing a raw packet to a  savefile,  check  whether  the
          file  is  currently  larger than file_size and, if so, close the
          current savefile and open a new one.  Savefiles after the  first
          savefile  will  have the name specified with the -w flag, with a
          number after it, starting at 1 and continuing upward.  The units
          of  file_size  are  millions  of  bytes  (1,000,000  bytes,  not
          1,048,576 bytes).

所以-C 4096 表示文件大小为 4096000000 字节。这是一个很大的文件大小，在旧版本的 tcpdump 中，-C 标志不支持这么大的文件大小（大于 2147483647）。

如果你的意思是你希望它写出大小为 4K 字节的文件，不幸的是 tcpdump 不支持。这意味着通过合并 tcpdump pull request 916 修复 tcpdump issue 884 已经过去了 - 我现在会这样做，但现在对你没有帮助。

当我使用文件大小运行时：- 100000

这是 100000000000 的文件大小，即 100 GB。不幸的是，如果您希望文件大小为 100000 字节（100 KB），那么当前的最小文件大小为 1 兆字节，因此不支持。