Wireshark 默认把抓到的包工包包一股脑塞进一个文件里，跑上几个小时，具自几个 G 的动分 pcap 文件就出来了。打开这种文件，包工包滚动条拖到底要等半天，具自过滤一条 TCP 流更是动分卡到怀疑人生。自动分包这事，包工包说白了就是具自让抓包工具按规则把数据切成小块，别等到硬盘报警才想起来处理。动分

Windows 上能干的包工包工具不少，但真正顺手的具自不多。Wireshark 自带 ring buffer 功能，动分配置路径在 Capture Options 里，包工包勾选 Output 标签页下的具自 Create a new file automatically，可以按文件大小或时间间隔切分。动分我一般设成每 100MB 或每 10 分钟换一个文件，文件名带时间戳，比如 capture_20240512_1430.pcap。这样即使抓包过程中程序崩了，最多丢一个分片，不至于全军覆没。

但 Wireshark 的图形界面有个毛病——长时间抓包时内存占用会慢慢涨上去。我试过连续跑 48 小时，内存从 200MB 爬到 1.2GB，最后界面卡死。换成 tshark 命令行就稳多了。下面这条命令我用了两年多，没出过岔子：

tshark -i "以太网" -b filesize:102400 -b files:20 -w D:\captures\capture.pcap

-b filesize:102400 表示每个文件 100MB 就切，-b files:20 表示最多保留 20 个文件，旧的自动删。这俩参数配合起来就是环形缓冲，磁盘占用上限 2GB，不用手动清理。-i 后面跟网卡名，用 tshark -D 可以列出所有可用接口的编号。

有个细节容易踩坑：Windows 上网卡名带中文或空格时，-i 参数得用编号代替。比如 tshark -D 输出里 1. \Device\NPF_{ ...}，那就写 -i 1。直接写中文名有时候能识别，有时候报错，看 tshark 版本心情。

如果你需要更细粒度的控制，比如按小时切分并且文件名带自定义后缀，dumpcap 比 tshark 更合适。它本来就是 Wireshark 的底层抓包引擎，资源占用更低。命令大概长这样：

dumpcap -i 1 -b duration:3600 -b files:24 -w D:\captures\eth0_%Y%m%d_%H%M%S.pcap

duration:3600 是每小时切一个，files:24 保留最近 24 个，刚好覆盖一整天。文件名里的 %Y%m%d_%H%M%S 会被替换成实际时间，找特定时间段的包特别方便。

实际用的时候还有个问题：自动分包后，跨文件的 TCP 流分析会断掉。比如一个 HTTP 请求在文件 A 里发了 SYN，响应在文件 B 里才回来，Wireshark 单独打开一个文件看不到完整会话。解决办法是用 mergecap 把相关文件合并再分析：

mergecap -w merged.pcap capture_20240512_14*.pcap

通配符匹配同一小时内的所有分片，合并后就能正常跟踪流了。不过合并大文件很吃内存，16GB 的机器建议单次合并不超过 2GB 数据。

另外提一嘴，Windows 自带的事件查看器也能抓包，但那个是 ETW 机制，跟传统 pcap 不是一回事。除非你在调 Windows 内核网络栈的问题，否则别折腾那个，导出格式转换能烦死人。

最后说个真实案例。上个月帮同事排查一个间歇性丢包问题，用 tshark 挂了三天，每 30 分钟切一个文件，总共 144 个分片。出问题时直接定位到对应时间段的文件，过滤 tcp.analysis.lost_segment，五分钟就找到了交换机端口协商的毛病。要是没自动分包，三天下来接近 8GB 的单文件，光打开就得等几分钟，更别说过滤了。

工具选哪个看场景：临时抓几分钟用 Wireshark 图形界面最省事；长期后台抓包用 tshark 或 dumpcap 加环形缓冲；需要复杂过滤条件再上 tshark 的 -Y 参数配合分包。别小看自动分包这功能，关键时刻能省下大量翻文件的时间。

(责任编辑：知识)