Re: tcpdump - timestamp

colo — Thu, 14 Jan 2021 14:25:06 GMT

Das wird dir mit dem zeitgesteuerten Stoppen und Starten von tcpdump niemals gelingen, dass keine Daten verlorengehen - egal ob patschert via cron, oder semi-patschert via systemd timer. Du willst dir stattdessen lieber den "-G"-Switch (und seine Freunde) von tcpdump ansehen, der da sagt:

-G rotate_seconds
If specified, rotates the dump file specified with the -w option every rotate_seconds seconds. Savefiles will have the name specified by -w which should include a time format as defined by strftime(3). If no time format is specified, each new file will overwrite the previous. Whenever a generated filename is not unique, tcpdump will overwrite the pre-existing data; providing a time specification that is coarser than the capture period is therefore not advised.
If used in conjunction with the -C option, filenames will take the form of `file'.

tcpdump - timestamp

virus — Thu, 14 Jan 2021 11:38:23 GMT

hi, ich verwende tcpdump auf centos zum recorden von bestimmten daten. für das tcpdump habe ich ein einfaches systemd service erzeugt. mit dem -G 300 Schalter werden die files werden alle 5 minuten erzeugt, dies macht sich dann auch in der benamsung der capture fiels bemerkbar.
bsp: dump_10:05, dumpt_10:10,...
dass hier immer zu jeder vollen fünften minute ein neues file erzeugt wird wird jedoch mittels cron gewährleistet, welches das service alle 5min restartet. dabei ist mir jedoch aufgefallen, dass für den restart prozess des services kurze zeit daten fehlen, was mir logisch erscheint. wenn ich jedoch den cron nicht verwende, so habe ich immer einen timestamp im file, welcher 5min ab start des services abbildet, sprich
start services - 10:27: dump_10:27, dump_10:32,...
ich weiß, dass es auch möglich ist den .timer des services zu verwenden, welche den start des services on calender (absolut) oder relative (on...) erlaubt. jedoch gelingt es mir nicht eine einstellung zu finden, dass z.b. das service erstmalig zur fünften minute der stunde gestartet wird, sodass der timestamp passt und keine daten verloren gehen.

wäre super, wenn mir hier jemand helfen könnte.

thx