tcpdump -c 选项可限制捕获报文数量，达到指定条数后自动退出；需配合 -w 保存为 .pcap 文件，注意过滤条件匹配性、权限与磁盘空间，并建议叠加 timeout 防止长时间挂起。
使用 tcpdump -c 选项可限制捕获报文数量，达到指定条数后自动退出，有效防止文件无限增长导致磁盘写满。
指定捕获数量并保存到文件
用 -c 参数设定最大捕获包数，配合 -w 写入二进制文件（推荐 .pcap 后缀）：
-
tcpdump -c 1000 -w capture.pcap port 80—— 捕获 1000 个 HTTP 报文后停止 -
tcpdump -c 5000 -w /tmp/trace.pcap host 192.168.1.100—— 仅记录与指定主机交互的前 5000 包
避免误用常见陷阱
注意以下关键点，否则可能不生效或产生意外行为：
-
-c统计的是“接收到并匹配过滤条件的报文”，不是网卡收包总数 - 若过滤表达式过严（如
port 9999且无流量），tcpdump 会一直等待，直到收到第 N 个匹配包才退出 - 不要和
-G（按时间轮转）混用，二者逻辑冲突，-c 优先级更高但行为不可靠 - 输出文件路径需有写权限，且所在分区预留足够空间（即使只存 1000 包，若含大载荷仍可能占几 MB）
配合超时机制更稳妥
单靠 -c 在低流量场景可能长时间挂起，建议加 -t（限时）或用 shell 超时控制：
- 用
timeout命令兜底：timeout 30s tcpdump -c 1000 -w out.pcap icmp - 捕获后立即校验：
tcpdump -r out.pcap -c 1 | head -1可快速确认文件非空且可读 - 生产环境建议加
-q（减少输出干扰）和-n（禁用 DNS 解析，提速）
不复杂但容易忽略：-c 是最直接可靠的“定量截断”方式，只要过滤条件合理、路径可用、必要时叠加超时，就能稳定防爆盘。
