tcpdumpファイルサイズ==トラフィックサイズ？
Tcpdumpファイルを作成しました：
tcpdump -i eth0 Host xxx.208.xxx.59 -n -s 0 -vvv -w /tmp/dump.dmp
所要時間は約3時間でした。
このファイルの容量は450MBになりました。 IPxxx.208.xxx.59が3時間で450MBのトラフィックを生成したと言えますか？
はい、多分、必ずしもそうとは限りません。
Pcapファイルは、送受信されたトラフィックの単なるバイト単位の表現ではありません。不正確さの原因となるものは次のとおりです。
- pcapファイルのオーバーヘッド。たとえば、すべてのパケットにタイムスタンプが付けられます。
- Pcapの「パケット」の概念と「パケット」を構成するものの理解との間のインピーダンスの不一致。 pcapファイルには、リンク層ヘッダーを含むすべてが含まれます。これは、請求目的で顧客のトラフィック許容量の一部と見なされることはめったにありません。
- 欠落しているパケット。 pcapレイヤーは、すべてのパケットが実際にtcpdumpの穏やかなケアに転送されることを保証しません。多くのパケットが（さまざまな理由で）ドロップされた可能性があり、それらは表示されるカウントの一部にはなりません。
トラフィックを考慮したい場合は、コアから取得したポートまたはネットフローの統計情報を使用して、適切に考慮してください。
はいと思います。私の理解では、ライター（-w）はパケットをバイト単位で/tmp/dump.dmpに書き込みます。しかし、私は80％しか確信していません...
これにはヘッダー情報も含まれますが、スループット統計に計算する必要があります。