Ротация и обрезка потока pcap

Некоторые из моих серверов собирают много пакетных данных. Есть ли утилита (или патч для tcpdump(1)) записать поток pcap на диск, который:

  1. Поворачивается в зависимости от размера записанных данных.
  2. Чернослив записанные файлы, сохраняя только N самых последних
  3. Не повторно использовать выходные имена файлов
  4. Является автономным
    (Исключение, например, поворота с внешней обрезкой через crond(8) + tmpwatch(8))

В основном я хочу multilog или же svlogd это сбивает формат записи pcap.

Опция -W filecount tcpdump-4.0.0 "чернослив", перерабатывая старые имена файлов, что нарушает #3 выше, заставляя меня обратиться к mtimes, чтобы определить актуальность и не предоставляя никаких гарантий против неожиданного усечения файла журнала.

Опция -G вводит strftime(2) поддержка -specifier в выходных именах файлов, что дало бы мне как минимум вторую точность в именах файлов, но я не могу понять, как добиться сокращения для работы с этой схемой.

Источник

2 ответа

Решение

Dumpcap должен делать то, что вам нужно.

dumpcap -w /tmp/output.pcap -b filesize:20000 -b files:10

будет вращаться не более 10 файлов с максимальным размером 20 МБ. Каждый файл имеет уникальное имя, например, output_00018_20100315122857.pcap.

Daemonlogger тоже должен работать, но я им не пользовался.

Источник

Вы можете хотеть Грока. Он делает то, что вы хотите, а затем некоторые.

Источник
Другие вопросы по тегам