複数NICを実装しているサーバの常時パケットキャプチャについて

Question

前提・実現したいこと

NICを4枚実装しているサーバマシンを対象に、常時パケットキャプチャするやり方を考えています。
条件は
・NICカードの複数指定が可能で１ファイルに出力する
・キャプチャファイルは200MB毎にローテートと圧縮を同時に行う
となっています。

発生している問題

tcpdumpとtsharkを両方試してみたのですが、
tcpdump・・・zオプションでコマンド起動できるため、gzip圧縮はできるが、NICの複数指定ができない
tshark・・・iオプションでNICを複数指定できるが、ローテート時にコマンド起動できないため、gzip圧縮できない
となっていて、頭を抱えています。

複数NICのキャプチャを１ファイルに出力して、ローテート時にコマンド実行（gzip圧縮）する、良い方法がございませんでしょうか？

ご教示のほど、よろしくお願いいたします。

試したこと

tcpdumpを複数起動して、同一ファイルに出力させてみたところ、ファイルが壊れました。

補足情報（FW/ツールのバージョンなど

使用OS：CentOS7.4
tcpdump：4.9.0
tshark：1.10.14

Answer 1

tcpdumpの-i anyで全インターフェースを対象にできて、not host *.*.*.*で特定IPアドレスの通信を対象外にできます。
なのでまず全インターフェースを対象にして、そこから不要なインターフェースのIPアドレスをフィルタリングするのはいかがでしょうか。

ただしインターフェースではなくIPアドレスをフィルタリングしているため、対象外にしたいインターフェース側で流れているマルチキャスト等はフィルタリングできていないのですが・・・

Comments

[YU654]

ご回答ありがとうございます。
実機で試してみて要件満たせたご回答を後日ベストアンサーに選ばせていただきます。

[YU654]

申し訳ございませんが、ご提案のやり方ではご指摘の通りフィルタリングできていないパケットが溢れてくるようで、当初の目的は達成できませんでしたが、tcpdumpの使い方の方法としてこういうやり方があるということ、勉強になりました。ご助言ありがとうございました。

Answer 2

tsharkにもファイル分割オプションはあるみたいなので・・・
ファイルを出力するディレクトリで最新ファイル以外を圧縮するようなスクリプトを作成の上、cronで数分置きに実行させる!
位しか思いつかないです。

Comments

[YU654]

ご回答ありがとうございます。
実機で試してみて要件満たせたご回答を後日ベストアンサーに選ばせていただきます。

[YU654]

cronを利用することにしました。ご助言ありがとうございました。