如何将 snoop 输出捕获到文件

1. 将 snoop 会话捕获到文件。例如：

   # snoop -o /tmp/cap
   Using device /dev/eri (promiscuous mode)
   30 snoop: 30 packets captured

   在以上示例中，在名为 /tmp/cap 的文件中捕获到了 30 个包。可以将此文件放在任何具有足够磁盘空间的目录中。捕获的包数显示在命令行中，您可以随时按 Ctrl-C 组合键中止捕获。

   snoop 命令将在主机上产生大量网络负载，这会使结果失真。要查看实际结果，请从第三方系统运行 snoop 命令。

2. 检查 snoop 输出捕获文件。

   # snoop -i filename

以下输出显示了可能会作为 snoop –i 命令输出接收到的捕获。

# snoop -i /tmp/cap
1   0.00000 fe80::a00:20ff:fee9:2d27 -> fe80::a00:20ff:fecd:4375
ICMPv6 Neighbor advertisement
...
10  0.91493    10.0.0.40 -> (broadcast)  ARP C Who is 10.0.0.40, 10.0.0.40 ?
34  0.43690 nearserver.here.com  -> 224.0.1.1  IP  D=224.0.1.1 S=10.0.0.40 LEN=28,
ID=47453, TO =0x0, TTL=1
35  0.00034  10.0.0.40 -> 224.0.1.1    IP  D=224.0.1.1 S=10.0.0.40 LEN=28, ID=57376,
TOS=0x0, TTL=47