如何在tshark使用环形缓冲存包时同时应用显示过滤器？

仅用tshark实现的方法 #

方法1：直接结合显示过滤器与环形缓冲 #

如果你的tshark版本足够新（建议3.0+），可以直接将显示过滤器（-Y）与--ring-buffer选项配合使用。tshark会先对捕获的数据包应用显示过滤器，仅将符合条件的包写入环形缓冲文件，既实现错误检测过滤，又能避免磁盘被填满：

tshark -i eth0 -Y "你的显示过滤器规则" -w filtered_capture.pcapng \
  --ring-buffer filesize:1000 \  # 每个文件最大1000MB
  --ring-buffer files:5          # 最多保留5个文件，超出后自动覆盖最旧的

注意参数顺序：确保-Y在-w和--ring-buffer之前，让tshark先执行过滤逻辑再处理文件写入。如果之前尝试失败，大概率是参数顺序错误或使用了过旧的tshark版本，建议升级到最新稳定版。

方法2：双tshark进程联动（适配旧版本） #

如果无法升级tshark，可以用两个独立进程配合：

1. 第一个进程捕获所有数据包到临时环形缓冲：

tshark -i eth0 -w temp_capture.pcapng \
  --ring-buffer filesize:2000 \
  --ring-buffer files:10

2. 第二个进程实时读取临时环形文件，应用显示过滤器后写入最终环形缓冲：

tshark -r temp_capture.pcapng -Y "你的显示过滤器规则" -w filtered_output.pcapng \
  --ring-buffer filesize:1000 \
  --ring-buffer files:5 \
  --follow

--follow参数会让tshark持续监控输入文件的变化（包括环形缓冲的文件轮转），但需注意：临时环形缓冲的文件数量和大小要足够大，避免过滤进程跟不上捕获速度导致数据丢失；同时要确保两个进程的文件路径一致，避免权限问题。

使用第三方环形缓冲工具 #

如果tshark原生方案无法满足需求，可以借助支持环形缓冲的管道工具，比如teec（多向管道工具，支持环形文件输出）：

tshark -i eth0 -Y "你的显示过滤器规则" -w - | teec --ring --size 1000M --count 5 filtered_capture_%d.pcapng

teec会从标准输入读取过滤后的数据包，写入最多5个、每个1000MB的环形文件，超出限制后自动覆盖最旧的文件。

如果没有teec，也可以用logrotate配合tshark实现类似效果：

• 配置tshark按固定大小生成捕获文件：

tshark -i eth0 -Y "你的显示过滤器规则" -w capture_%Y%m%d_%H%M%S.pcapng -b filesize:1000

• 编写logrotate配置文件，定期保留最新的5个文件，删除旧文件：

/path/to/capture_*.pcapng {
    rotate 5
    missingok
    notifempty
    copytruncate
}

这种方式适合非实时严格要求的场景，logrotate会按配置自动清理旧文件。

内容的提问来源于stack exchange，提问作者smaryus