2.1 捕获配置实战：网卡、混杂模式与环形缓冲

2.1 捕获配置实战：网卡、混杂模式与环形缓冲

采集是证据链的第一环，本节处理单机采集的全部旋钮：从选哪块网卡、开不开混杂模式，到快照长度切多少、缓冲区开多大、文件怎么滚动。这些旋钮拧错一个，轻则文件虚胖，重则关键帧悄悄丢失——而丢失是静默的。本节的配置原则会被 2.3 节的远程采集与第 8 章的性能调优反复引用。

现场一：可见范围——你在哪里，决定你看得见什么

开始采集前先回答"站在哪"。同一交换网络里，网卡的默认行为是只收目的 MAC 为自己的帧和广播帧；混杂模式只是解除这道自滤，并不能让交换机把别人的帧发给你。三种采集点位的可见范围：

镜像口是交换环境的正解：把上联口或服务器口的流量复制到监听口，解析机接在监听口上开混杂模式。注意镜像也有容量上限——千兆监听口镜像两条千兆链路会溢出，这种"采集系统自己先丢包"的事故在实战里并不少见。

混杂模式在 Wireshark 的捕获选项里是默认勾选的，理解它的真实作用（让本机网卡通吃"到达本机"的帧）能避免"开了混杂就能抓全网"的常见误解。无线网卡另有一档"监听模式"（monitor mode），能收到空口上的 802.11 管理帧，是无线勘验的专用姿势，本节不展开。

现场二：快照长度——截尾省空间，还是全帧保证据

快照长度决定每帧保留多少字节。排障多数时候只需要头部：TCP 排障留 128 字节足够看清各层头与常见选项；HTTP 内容勘验要 1500 以上；取证案一律 -s 0 全帧——截断的载荷在法庭上是把柄。

tcpdump 与 dumpcap 的对应写法：

# 头部排障：截 128 字节，写文件
$ sudo tcpdump -i eth0 -s 128 -w triage.pcap

# 取证全帧：不截断，附带每包内核时间戳
$ sudo dumpcap -i eth0 -s 0 -w evidence.pcapng
File: /tmp/evidence.pcapng
Packets captured: 18422
Packets received/dropped on interface eth0: 18422/0 (0.0%)
​

结尾这行丢包统计是采集质量的"体检报告"，永远多看一眼——dropped 不为零，分析结论就要打折扣。

现场三：环形缓冲——长跑采集的滚动窗口

安全案要盯几十小时，文件不能无限增大。环形文件组让采集在固定磁盘预算内滚动：

# 单文件 256MB，最多 8 个，循环覆盖最旧
$ sudo dumpcap -i eth0 -b filesize:262144 -b files:8 -w beacon.pcapng
​

多出来的 -b 参数就是 ring buffer 的开关：filesize 单位是 KB，files 是个数。8 个 256MB 意味着磁盘最多占 2GB，旧证据滚动消失——所以取证案不能用环形，安全案却正合适（异常发生后从最近的文件往前找）。GUI 用户在捕获选项的 Output 标签页勾选"Use multiple files"填同样两个数即可。

现场四：丢包自救——发现、定位、缓解

高码流下内核缓冲来不及消费就开始丢帧，Wireshark 状态栏会实时显示 "Dropped by kernel"。处置顺序：

1. 确认现象：停止采集看汇总行，或用 capinfos 复核文件（2.2 节）。
2. 先下筛子：加捕获过滤把不相干流量挡在门外，not port 22 是远程采集时的保命符。
3. 再调缓冲：GUI 捕获选项里调大 buffer size；命令行看抓包库的参数说明。
4. 换专职采集：GUI 解析会拖慢采集，长跑一律换 dumpcap，解析留到事后。
5. 实在不行降量：snaplen 截到 128，或镜像口只镜像关键 VLAN。

⚠️ 最隐蔽的坑是"采集端看起来正常、帧其实是截断的"。面板里看到某帧载荷不完整时，先检查帧注释里有没有 captured length 小于 original length 的标注，别急着下"载荷被篡改"的结论——多数时候是当年采集时的 snaplen 就设小了。

配置对照：GUI 与命令行的同题作答

同一套采集需求，两个界面的完整作答对照（读者可拿任一侧直接套用）：

注意 GUI 的捕获过滤框与主界面的显示过滤框是两个入口——前者接受 BPF（进门筛），后者接受显示语法（台上筛），在 GUI 里串台是新人最常见的事故之一（5.1 节的陷阱六在此提前预警）。

环形文件组的时序图景

环形滚动的文件组在时间轴上的形态，用文字画出来：

时间 →  t0 ──────── t1 ──────── t2 ──────── t3 ──────── t4
文件     [ring0 ][ring1 ][ring2 ][ring3 ][ring4 ] ...
磁盘     ───────── 只保留最近 8 个 ─────────
         ring0 在 t4 被覆盖前，是"最老的可查证据"
​

安全案的典型用法：信标周期如果是十几分钟，单文件时长（filesize 对应的时长）就该短于周期的一半，保证任何一个完整周期不会恰好被滚动边界切断——参数设计要为案情特征服务，这是 1.3 节"案由决定采集姿势"在参数层的落地。

常见疑问

**问：镜像口抓包要不要开混杂模式？**要。镜像口把别人的帧复制过来，本机网卡默认会丢弃"目的 MAC 不是自己"的帧——混杂模式负责不挑食。不开它，镜像口形同虚设，且没有任何报错提示你。

**问：snaplen 设小了，事后发现载荷缺了怎么办？**没救——截断的字节从未被写进文件（采集段的第一道丢失，3.1 节）。只能重采。所以不确定时宁可全帧，存储换证据完整性是划算的买卖。

**问：多接口同时抓怎么保证时间对齐？**用 pcapng 的多接口能力（2.2 节）——同一次采集选多块网卡，文件里每帧带接口编号，时间戳同源。两个进程各抓一个文件再 mergecap，时间轴虽能对，但丢包统计与元数据是割裂的，能不用就不用。

结案要点

• 可见范围由点位决定：本机、镜像口、分光器三档，混杂模式不改变交换机的转发行为。
• snaplen 按案型定：排障 128、勘验 1500+、取证不截断。
• 环形文件组是磁盘预算工具：安全案长跑用它，取证案禁用它。
• 丢包统计是采集质量底线：dropped 非零的文件，结论降级处理。
• 远程采集记得 not port 22：否则自己的会话会把自己淹没。

证据已经能干净地取回来，下一节解剖盛放证据的容器本身——pcapng 文件里那些不为人知却至关重要的结构。