Netzwerkanalyse mit Wireshark / dumpcap

[DeathAndPain2 10]

Hallo allerseits,

 

ich versuche, ein fortlaufendes Netzwerkdatenprotokoll mit dumpcap zu erzeugen. (dumpcap gehört zum Wireshark-Paket; es erzeugt Wireshark-Meßprotokolle als Kommandozeilentool und ist nicht so anfällig für Speicherüberläufe.) Da der Speicherplatz auf der Festplatte sehr begrenzt ist, möchte ich die Ring Buffer-Option dergestalt nutzen, daß immer nur die Protokolle der letzten drei Tage vorgehalten werden. Danach sollen neue Protokolle die ältesten überschreiben.

 

Problem an der Sache: dumpcap scheint die entsprechenden Parameter zu ignorieren.

 

Meine Befehlszeile sieht wie folgt aus:

 

DUMPCAP -b duration:3600 files:72 -B 2 -i \Device\NPF_{14220068-74B2-4A1E-AE7F-F3CE8993189D} -w wireshark

 

"-b duration:3600 files:72" bedeutet nach meinem Verständnis, daß er alle 3600 Sekunden (d.h. nach einer Stunde) ein neues Protokollfile anfängt. Dabei ist er auf einen Ring Buffer mit 72 Dateien beschränkt, müßte also nach 72 Stunden (3 Tagen) wieder von vorne anfangen. Das aber tut er nicht: Er fängt zwar brav jede Stunde eine neue Protokolldatei an, aber ich habe heute noch Dateien mit Dateidatum 6.12. auf der Platte, und es ist schon der 10.12.! Nun kann ich drauf warten, daß die Platte überläuft.

 

Mache ich bei der Befehlssyntax einen Fehler?