[리눅스] tcpdump

$ sudo tcpdump \
  -i eth0 \
  -s 1500 \
  -C 5 \
  -W 3 \
  -w capture.pcap \
  'host 192.168.0.100'

여기서 ‘-i’ 옵션은 네트웍 장치 이름, ‘-s’ 옵션은 패킷 크기, ‘-C’ 옵션은  캡쳐할 파일을 구분할 크기(MB), ‘-W’ 옵션은 순환할 파일 갯수,  ‘-w’ 옵션은 파일 이름 앞부분, 마지막 필터 조건에서 ‘host’는 캡쳐할 캡쳐의 IP 주소를 의미합니다.

이렇게 실행하면 ‘capture.pcap0′, ‘capture.pcap1′, ‘capture.pcap2′ 식으로 5MB 단위로 캡쳐 파일을 생성합니다. 그리고 항상 마지막 3개 파일만 남깁니다. 캡쳐 도중 현상이 발생했다면 CTRL-C 키를 눌러 캡쳐를 멈추고, 마지막 파일을 Wireshark 프로그램 메뉴에서 ‘File’ -> ‘Open…’ 기능을 이용해 읽어오면 됩니다.

http://lethean.pe.kr/2008/11/19/wireshark-tcpdump/