tcpdump로 디스크 안 채우고 계속 캡처하기

간헐적으로 재현되는 네트워크 문제는 오래 잡고 있어야 잡히는데, 그냥 -w로 파일에 쓰면 디스크가 꽉 찹니다. 이럴 때 -C와 -W로 링 버퍼를 만들면 파일 개수를 제한해 오래된 것부터 덮어쓰기 때문에 용량 걱정 없이 계속 돌릴 수 있습니다.

# 100MB 파일 10개까지만, 다 차면 앞에서부터 덮어씀
tcpdump -i eth0 -w /var/cap/trace.pcap -C 100 -W 10 host 10.0.0.5

# 시간 기준: 1시간마다 새 파일, 파일명에 strftime 시간 넣기
tcpdump -i eth0 -G 3600 -w /var/cap/trace-%Y%m%d-%H%M%S.pcap

-C의 크기 단위는 100만 바이트(1,000,000)이지 1MiB가 아닙니다. -W는 -C와 같이 쓰면 개수를 제한해 처음부터 덮어쓰는 회전 버퍼가 되고, -G와 같이 쓰면 회전 파일 수를 제한한 뒤 그 수에 도달하면 종료 코드 0으로 끝냅니다. 한 가지 주의할 점은 -C와 -G를 동시에 주면 -W가 무시되고 파일 이름에만 영향을 준다는 것입니다.

🔗 https://www.tcpdump.org/manpages/tcpdump.1.html