tcpdump 本身不支持按绝对时间范围捕获，但可通过 -G 和 -W 实现固定时长捕获、shell 时间判断实现精确启停、editcap 提取已有 pcap 的时间子集，或用 -tttt 实时标记时间。

tcpdump 本身不内置“按绝对时间范围捕获”的功能，但可通过组合系统时间控制、轮转机制与过滤逻辑，精准限定捕获的时间窗口。关键在于用 -G（周期轮转）和 -W（文件数量限制）配合脚本判断起止时间，或借助外部时间戳过滤已保存的 pcap 文件。

用 -G 和 -W 实现固定时长捕获

这是最常用、最可靠的方式：让 tcpdump 每隔固定秒数生成一个新文件，并只保留目标时间段内的那个（或几个）文件。

• -G 60 表示每 60 秒创建一个新 pcap 文件（文件名自动带时间戳，如 capture-1719856800.pcap）
• -W 1 限制最多只保留 1 个文件，旧文件会被覆盖——适合“只抓接下来 N 秒”的场景
• 例如，抓取未来 120 秒的全部流量：
  sudo tcpdump -i eth0 -w capture.pcap -G 120 -W 1
  运行后等待 120 秒，Ctrl+C 停止，此时 capture.pcap 就是这 120 秒内的完整记录

捕获时结合 shell 时间判断（精确到秒）

若需在某个具体时间段（如今天 14:30:00–14:32:30）自动启停，可用 while 循环 + date 判断：

• 先获取目标起始和结束时间戳：
  

  start=$(date -d "today 14:30:00" +%s)<br>end=$((start + 150))

• 启动后台捕获：
  

  sudo tcpdump -i eth0 -w window.pcap &<br>pid=$!

• 等待结束时间到达后自动终止：
  

  while [ $(date +%s) -lt $end ]; do sleep 1; done<br>kill $pid

对已有 pcap 按时间范围提取子集

如果已经有一个大 pcap 文件，想从中切出某段时间的数据，用 editcap（Wireshark 工具集自带）最直接：

• 提取从 2026-07-06 10:15:22 开始、持续 90 秒的包：
  editcap -A "2026-07-06 10:15:22" -B "2026-07-06 10:16:52" full.pcap window.pcap
• 注意：-A 是起始时间（inclusive），-B 是截止时间（inclusive），格式必须严格匹配 pcap 中的时间戳格式（通常为 YYYY-MM-DD HH:MM:SS）
• 可先用 tcpdump -r full.pcap -tttt | head -n 3 查看前几行的实际时间戳格式

小技巧：实时显示并标记时间

若只是临时观察、不需要保存，加 -tttt 可在每行输出前显示完整日期时间，方便肉眼定位事件发生时刻：

• sudo tcpdump -i eth0 -nn -tttt port 80
  输出类似：2026-07-06 18:01:22.345678 IP 192.168.1.10.54321 > 10.0.0.5.80: Flags [S]
• 配合 -c N 可限制只看前 N 个包，避免刷屏