WireShark: буферизует только последние 10 000 пакетов

Question

Я использую WireShark, чтобы следить за трафиком на двух портах 10G в режиме реального времени. Проблема в том, что через два порта поступает так много трафика, что WireShark выходит из строя в течение минуты.

Есть ли у WireShark способ буферизовать только небольшое количество пакетов (скажем, 10 000 самых последних) и отбрасывать все ранее захваченное?

Answer 1

Вы можете использовать вращающиеся файлы журнала, чтобы получить нечто подобное.

Использование wireshark для сохранения "живого" представления в любом случае / не рекомендуется: я бы предпочел использовать запись tcpdump для вращающихся файлов журнала "size" (см. Параметры журнала tcpdump) и wireshark -r для просмотра результатов.