在 CentOS 上“优化 Sniffer”通常指提升抓包性能、降低丢包率、减少系统开销。下面按场景 + 可操作优化点给你一个实用清单，适用于 tcpdump、libpcap、Wireshark（tshark）、Suricata、自定义 libpcap/PF_RING 程序等。
一、先明确：你在用哪种 Sniffer？
不同工具优化方式略有差异：
| 场景 | 常见工具 |
|---|---|
| 命令行抓包 | tcpdump、tshark |
| 安全/IDS | Suricata、Snort |
| 自定义程序 | libpcap / PF_RING / AF_PACKET |
| 高性能抓包 | DPDK、PF_RING DNA |
二、系统层优化（最重要）
✅ 1. 内核参数优化（强烈建议）
# 增加接收缓冲区
echo "net.core.rmem_max = 134217728" >> /etc/sysctl.conf
echo "net.core.rmem_default = 134217728" >> /etc/sysctl.conf
echo "net.core.netdev_max_backlog = 500000" >> /etc/sysctl.conf
# 禁用反向路径过滤
echo "net.ipv4.conf.all.rp_filter = 0" >> /etc/sysctl.conf
echo "net.ipv4.conf.default.rp_filter = 0" >> /etc/sysctl.conf
sysctl -p
✅ 2. 网卡队列 & 中断优化
# 查看队列
ethtool -l eth0
# 开启多队列（如果支持）
ethtool -L eth0 combined 8
绑定中断到不同 CPU：
irqbalance stop
# 手动绑定 IRQ 到 CPU（高级）
✅ 3. 关闭不必要功能
# 关闭 iptables/nftables（抓包机）
systemctl stop iptables
systemctl stop firewalld
# 关闭 SELinux（测试环境）
setenforce 0
三、抓包工具优化
✅ tcpdump 优化
# 增大 buffer
tcpdump -i eth0 -B 4096 -w capture.pcap
# 抓包过滤（减少负载）
tcpdump -i eth0 tcp port 80
# 不要实时解析
tcpdump -n -nn -q
✅ tshark 优化
tshark -i eth0 -B 4096 -f "tcp" -w out.pcap
四、libpcap / PF_RING 优化（高性能）
✅ 1. 使用 PF_RING（强烈推荐）
# 安装 PF_RING
yum install pfring
modprobe pf_ring
启用：
# 使用 PF_RING 抓包
tcpdump -i eth0 --ring-buffer 1024
✅ 2. AF_PACKET + mmap（Linux 原生）
libpcap 自动使用，但需：
echo 1 > /proc/sys/net/core/flow_limit_cpu_affinity
五、零拷贝 & 高级方案（10Gbps+）
✅ DPDK（极限性能）
- 绕过内核
- 适合 10Gbps+
- 需要：
- 专用网卡
- 大页内存
- 应用支持
六、抓包策略优化（非常关键）
✅ 原则
- 抓包点越靠近流量入口越好
- 抓包时间尽量短
- 抓包过滤规则越精确越好
✅ 推荐过滤
host 1.1.1.1
tcp port 443
not arp and not icmp
七、性能排查命令
# 查看丢包
ethtool -S eth0 | grep drop
# CPU 软中断
mpstat -P ALL 1
# 网络队列
cat /proc/net/softnet_stat
八、推荐组合（实战）
| 流量规模 | 推荐方案 |
|---|---|
| < 1Gbps | tcpdump + buffer |
| 1–10Gbps | PF_RING + Suricata |
| 10Gbps+ | DPDK |
九、如果你愿意，我可以：
- ✅ 根据你的 CentOS 版本 + 网卡型号 给精确参数
- ✅ 帮你 分析 tcpdump 丢包原因
- ✅ 给你 Suricata / Snort 抓包优化配置
- ✅ 帮你判断 是否需要 PF_RING / DPDK
你可以直接回答我：
CentOS 几？网卡型号？抓包用途？流量大概多大？