Ter wireshark salvar o fluxo de captura em uma certa quantidade de quadros, em seguida, iniciar nova captura

Question

O Wireshark pode capturar facilmente centenas de milhares de capturas em menos de uma hora. Eu estou querendo saber se é possível configurar o Wireshark para que o WireShark salve a captura após uma certa quantidade de quadros, e inicie uma nova captura depois disso, apenas para ter certeza de que tudo permanece dentro de certas proporções.

A melhor maneira de fazer isso é iniciar uma nova instância alguns segundos antes do salvamento, o que fará com que os dados se sobreponham um pouco, mas dessa forma você não perderá os quadros passados durante o salvamento, e não há alternativa meu conhecimento.

    

Answer 1

Você pode especificar o uso de vários arquivos durante as opções de captura. A partir dessas opções, você pode definir quantos arquivos de captura deseja e o tamanho de cada arquivo. Então você poderia dizer especificar 20 arquivos 20MB cada. E quando você está fazendo a captura, o Wireshark fará um round robin desses 20 arquivos e cada vez que atingir 20MB, ele irá para o próximo arquivo.

Depois de parar a captura, você pode pegar arquivos contíguos e mesclá-los cronologicamente também, se desejar.

Dependendo da quantidade de dados que você está fazendo, convém aumentar o tamanho do buffer um pouco também, para garantir que você não esteja descartando nenhum pacote durante a captura.