Linux中限制抓包数量和文件大小主要用tcpdump的-c（指定包数）、-C（文件大小轮转）和-s（单包截取长度）参数，配合-w保存为pcap文件。
Linux 中限制抓包数量和文件大小，主要靠 tcpdump 的命令行参数控制，不需要额外工具或脚本。核心是用好 -c（数量）和 -C（文件大小轮转），再配合 -w 保存为二进制 pcap 文件。
限制抓包总数量
使用 -c 参数指定捕获的数据包个数，达到后自动停止：
-
sudo tcpdump -i eth0 -c 100 -w capture.pcap：只抓 100 个包，存入capture.pcap - 注意：
-c统计的是最终写入文件的包数，不是经过网卡的所有包；过滤表达式生效后再计数 - 适合明确知道只需观察固定交互次数的场景，比如三次握手、一次 HTTP 请求响应循环
限制单个抓包文件大小
用 -C 参数设定每个输出文件的最大字节数（单位是字节），超出后自动创建新文件：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
-
sudo tcpdump -i eth0 -C 1048576 -w capture.pcap：每个文件最大 1MB（1048576 字节），满后生成capture_00001.pcap、capture_00002.pcap等 - 文件名按 5 位数字递增，不会覆盖旧文件，适合长时间监控但磁盘空间有限的情况
- 可与
-c同时使用，例如-c 5000 -C 524288表示“最多抓 5000 包，且每文件不超过 512KB”
控制单包截取长度（间接影响文件体积）
用 -s 参数减少每个包捕获的数据量，能显著压缩文件大小，尤其对大载荷协议（如 HTTPS、文件传输）：
-
-s 0：捕获完整包（推荐分析时用，但体积大） -
-s 68：仅捕获基础头部（老版本默认值，省空间但看不到载荷） -
-s 128：含 TCP 选项（如时间戳、窗口缩放），适合连接行为分析 - 实际中可先试
-s 0抓一小段，用 Wireshark 查看典型包长，再设合理值（如-s 512覆盖多数 HTTP 请求头）
组合使用更稳妥
生产环境建议三项并用，兼顾可控性、可读性和存储压力：
sudo tcpdump -i eth0 -c 5000 -C 2097152 -s 256 -w /var/log/packet/cap.pcap host 192.168.1.100- 含义：监听 eth0，只抓目标主机 192.168.1.100 的流量；最多 5000 包；每文件上限 2MB；每包最多取前 256 字节；保存到指定路径
- 这样即使网络突发流量，也不会撑爆磁盘，也方便后续用 Wireshark 快速打开查看
