捕包丢失问题

2017/04/23
tcpdump抓包的时候出现丢包情况，主要是因为速度太大，缓冲区搞坏。
问题解决，转载自：http://www.th7.cn/system/lin/201503/96354.shtml
命令：tcpdump -i eth0 -nn -n -s0
用了这些命令之后，基本可以不丢包了

---

Linux下面，特别是命令行环境下，tcpdump是用来录制网络包的不二之选。但是，在使用基本必要参数时，往往不能满足正确抓取特定流量的包，比如，过快，过大。经过一番搜索求助后，试了几个方法，唯有一种比较靠谱。

首先，基本的必要参数是：

tcpdump -i ethx (不管三七二十七，这个口上的包统统抓下来)

小包，慢速环境下，这个方式基本没有问题

然后，如果流量过快，包也过大的时候，就会出现kernel drop packets的问题，怎么办？有的说，用“-nn”, "-n"参数，去掉域名解析操作；有的建议用“-s xxxx”放大默认抓包的大小；还有的建议用“-B xxxx”. 都试过一遍后，靠谱的是

tcpdump -i ethx -nn -n -B xxxx -s0 -w xxx.pcap

-nn: don't convert protocol and port number etc. to names either

-n: don not convert host addresses to names. This can be used to avoid DNS lookups.

-s: packet length (0: capture the whole packet; default is 68 bytes)

-B: Set the operating system capture buffer size to buffer_size (unit: kilobytes)

这个buffer size根据具体情况可以设置大一些，当然，这个要跟抓包的时长和具体的应用有关。

另外，对于被抓包的那个网卡，要事先关闭rx checksumming 和 GRO(general receive offload)功能

ethtool -K ethx rx off

ethtool -K ethx grp off

---