Проходя man-страницу tcpdump, кажется, что ядро может отбросить пакеты, если буфер заполнен. Мне подумалось, может:
Со страницы руководства (для удобства):
пакеты, «отброшенные ядром» (это количество пакетов, которые были отброшены из-за недостатка места в буфере механизмом захвата пакетов в ОС, в которой работает tcpdump, если ОС сообщает эту информацию приложениям; если нет, будет сообщено как 0).
Ответы:
Tcpdump имеет возможность -Bустановить размер буфера захвата. Затем значение передается в libpcap (библиотека, используемая tcpdump для фактического захвата пакета) через pcap_set_buffer_size()функцию. Страница man tcpdump не указывает, в каких единицах измерения размер буфера указывается с помощью -B, но из источника кажется, что это KiB.
Страница справочника pcap_set_buffer_size()не задает размер буфера по умолчанию (который используется, если эта функция не вызывается), но, опять же, из источника libpcap это кажется 2 МБ, по крайней мере, в Linux (но, скорее всего, зависит от системы).
Что касается буферизации и отбрасывания пакетов, вам также следует обратить внимание на соответствующую настройку параметра snaplen ( -s). man tcpdump:
-s Snarf snaplen bytes of data from each packet rather than the
default of 65535 bytes. Packets truncated because of a limited snapshot
are indicated in the output with ``[|proto]'', where proto is the name of
the protocol level at which the truncation has occurred. Note that taking
larger snapshots both increases the amount of time it takes to
process packets and, effectively, decreases the amount of packet buffering.
This may cause packets to be lost. You should limit snaplen to the
smallest number that will capture the protocol information you're
interested in. Setting snaplen to 0 sets it to the default of 65535, for
back-wards compatibility with recent older versions of tcpdump.
Это означает, что с фиксированным размером буфера вы можете увеличить количество пакетов, которые помещаются в буфер (и, следовательно, не отбрасываются), уменьшая размер привязки.