wireshark: разбить большой cap-файл

Понадобилось снять дамп сети с помощью snoop на солярке, но файл получился довольно большой (1гб).

Wireshark на core2quad с 4мя гигами на борту вылетал с ошибкой о нехватке памяти.

Вышел из ситуации следующим образом, в комплекте с wireshark есть консольные утилиты, которые позволяют посмотреть количество пакетов и разбить на нужное количество пакетов.

Итак:

C:\Program Files\Wireshark>capinfos -eac proverka.cap
File name: proverka.cap
Number of packets: 7983737
Start time: Wed Sep 07 11:26:15 2011
End time: Wed Sep 07 11:42:17 2011

Смотрим: "Number of packets: 7983737" равен приблизительно 8 мульёнам, соответственно, если разбить на файлы по 2 мульёна, получится 4 файла.

Так и поступим:

editcap -c 2000000 proverka.cap split.cap

Далее, подгрузим в wireshark и делаем то, что планировали.