معیاری را تعیین می‌کند که مشخص می‌سازد چه زمانی Dumpcap باید نوشتن در فایل ضبط را متوقف کند. این معیار به صورت test:value است، که در آن test یکی از موارد زیر است:

duration:value توقف نوشتن در فایل ضبط پس از سپری شدن value ثانیه. مقادیر ممیز شناور (مانند 0.5) مجاز هستند.

files:value توقف نوشتن در فایل‌های ضبط پس از نوشته شدن تعداد value فایل.

filesize:value توقف نوشتن در فایل ضبط پس از رسیدن اندازه آن به value کیلوبایت (kB). اگر این گزینه همراه با گزینه -b استفاده شود، dumpcap با رسیدن به این اندازه فایل، نوشتن در فایل فعلی را متوقف کرده و به فایل بعدی منتقل می‌شود. توجه داشته باشید که اندازه فایل به حداکثر مقدار 2 TB محدود است.

packets:value توقف نوشتن در فایل ضبط پس از نوشته شدن value بسته. عملکردی مشابه -c <capture packet count> دارد.

باعث می‌شود Dumpcap در حالت «چند فایلی» (multiple files) اجرا شود. در حالت «چند فایلی»، Dumpcap در چندین فایل ضبط می‌نویسد. هنگامی که نخستین فایل ضبط پر شود، Dumpcap نوشتن را به فایل بعدی منتقل می‌کند و به همین ترتیب ادامه می‌دهد.

نام‌های فایل ایجادشده بر اساس نام فایل ارائه‌شده با گزینه -w، شماره فایل و تاریخ و زمان ایجاد هستند؛ مانند: outfile_00001_20260714120117.pcapng، outfile_00002_20260714120523.pcapng، ...

با گزینه files همچنین می‌توان یک «بافر حلقه‌ای» (ring buffer) تشکیل داد. این کار فایل‌های جدید را تا رسیدن به تعداد فایل‌های مشخص‌شده پر می‌کند، و در آن نقطه Dumpcap داده‌های نخستین فایل را دور ریخته و شروع به نوشتن در آن فایل می‌کند و این روند ادامه می‌یابد. اگر گزینه files تنظیم نشده باشد، فایل‌های جدید پر می‌شوند تا زمانی که یکی از شرایط توقف ضبط محقق شود (یا دیسک پر شود).

این معیار به صورت key:value است، که در آن key یکی از موارد زیر است:

duration:value رفتن به فایل بعدی پس از سپری شدن value ثانیه، حتی اگر فایل فعلی کاملاً پر نشده باشد. مقادیر ممیز شناور (مانند 0.5) مجاز هستند.

files:value شروع دوباره از نخستین فایل پس از نوشته شدن تعداد value فایل (تشکیل بافر حلقه‌ای). این مقدار باید کمتر از 100000 باشد. در هنگام استفاده از تعداد زیادی فایل باید احتیاط کرد: برخی سیستم‌های فایل با وجود فایل‌های بسیار در یک دایرکتوری منفرد به خوبی کنار نمی‌آیند. معیار files مستلزم تعیین duration، interval یا filesize است تا زمان رفتن به فایل بعدی کنترل شود. لازم به ذکر است که هر پارامتر -b دقیقاً یک معیار دریافت می‌کند؛ برای تعیین دو معیار، هر یک باید با یک گزینه -b مجزا آورده شوند.

filesize:value رفتن به فایل بعدی پس از رسیدن حجم آن به value کیلوبایت (kB). توجه داشته باشید که اندازه فایل به حداکثر مقدار 2 TB محدود است.

interval:value رفتن به فایل بعدی هنگامی که زمان دقیقاً مضربی از value ثانیه باشد. برای نمونه، از 3600 برای جابجایی به یک فایل جدید در رأس هر ساعت استفاده کنید.

packets:value رفتن به فایل بعدی پس از اینکه شامل value بسته شد.

printname:filename چاپ نام آخرین فایل نوشته‌شده در filename پس از بسته شدن فایل. filename می‌تواند stdout یا - برای خروجی استاندارد، یا stderr برای خطای استاندارد باشد.

مثال: -b filesize:1000 -b files:5 منجر به یک بافر حلقه‌ای متشکل از پنج فایل با حجم هر کدام یک مگابایت می‌شود.

تنظیم اندازه بافر ضبط (بر حسب MiB، پیش‌فرض ۲ مبی‌بایت است). این گزینه توسط درایور ضبط برای بافر کردن داده‌های بسته استفاده می‌شود تا زمانی که بتوان داده‌ها را روی دیسک نوشت. اگر در حین ضبط با افت بسته (packet drop) مواجه شدید، سعی کنید این اندازه را افزایش دهید. توجه داشته باشید، در حالی که Dumpcap به طور پیش‌فرض تلاش می‌کند اندازه بافر را روی ۲ مبی‌بایت تنظیم کند و می‌توان آن را برای مقادیر بزرگ‌تر تنظیم کرد، اما سیستم یا رابطی که روی آن در حال ضبط هستید ممکن است بدون هشدار، اندازه بافر ضبط را به مقدار کمتری محدود کند یا آن را به مقدار بیشتری افزایش دهد.

این ویژگی در سیستم‌های سازگار با UNIX، مانند Linux، macOS، \*BSD، Solaris و AIX، با libpcap نسخه 1.0.0 یا جدیدتر و در Windows در دسترس است. در سیستم‌های سازگار با UNIX با نسخه‌های قدیمی‌تر libpcap در دسترس نیست.

این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینه -i استفاده شود، اندازه بافر پیش‌فرض ضبط را تنظیم می‌کند. اگر پس از یک گزینه -i استفاده شود، اندازه بافر ضبط را برای رابطی که با آخرین گزینه -i پیش از این گزینه مشخص شده است، تنظیم می‌کند. اگر اندازه بافر ضبط به طور خاص تعیین نشده باشد، در عوض از اندازه بافر پیش‌فرض ضبط استفاده می‌شود.

تنظیم حداکثر تعداد بسته‌ها برای خواندن در هنگام ضبط زنده داده‌ها. عملکردی مشابه -a packets:<capture packet count> دارد.

محدود کردن میزان حافظه به بایت که برای ذخیره بسته‌های ضبط‌شده در حافظه هنگام پردازش استفاده می‌شود. اگر همراه با گزینه -N استفاده شود، هر دو محدودیت اعمال خواهند شد. تنظیم این محدودیت، استفاده از ریسه (thread) مجزا به ازای هر رابط را فعال می‌کند.

کد تولیدشده برای فیلتر(های) ضبط را در قالبی خوانا برای انسان برون‌ریزی (dump) کرده و خارج می‌شود. در صورت ضبط روی چندین رابط، فیلتر ضبط برای هر رابط به ترتیبی که رابط‌ها تعیین شده‌اند چاپ خواهد شد. (توجه داشته باشید که ممکن است یک فیلتر ضبط روی رابط‌های گوناگون به صورت متفاوتی کامپایل شود.)

فهرستی از رابط‌هایی که Dumpcap می‌تواند روی آن‌ها ضبط انجام دهد را چاپ کرده و خارج می‌شود. برای هر رابط شبکه، یک شماره و یک نام رابط، و در صورت وجود توضیحی متنی از رابط، چاپ می‌شود. نام رابط یا شماره را می‌توان به پرچم -i داد تا رابطی که قرار است ضبط روی آن انجام شود تعیین گردد. شماره رابط می‌تواند در سیستم‌های Windows که رابط‌ها دارای نام‌های طولانی و معمولاً حاوی یک GUID هستند، مفید باشد.

تنظیم عبارت فیلتر ضبط.

کل عبارت فیلتر باید به عنوان یک آرگومان واحد مشخص شود (بدین معنی که اگر شامل فاصله است، باید درون نقل‌قول قرار گیرد).

این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینه -i استفاده شود، عبارت فیلتر پیش‌فرض ضبط را تعیین می‌کند. اگر پس از یک گزینه -i استفاده شود، عبارت فیلتر ضبط را برای رابطی که با آخرین گزینه -i پیش از این گزینه مشخص شده است، تنظیم می‌کند. اگر عبارت فیلتر ضبط به طور خاص تعیین نشده باشد، در صورت ارائه، از عبارت فیلتر پیش‌فرض ضبط استفاده می‌شود.

تنظیم قالب فایل خروجی ضبط که با استفاده از گزینه -w نوشته می‌شود. در شرایطی که قالب pcapng الزامی است، مانند ضبط از چندین رابط، این گزینه نادیده گرفته خواهد شد. گزینه -F بدون مقدار، قالب‌های موجود را فهرست می‌کند. پیش‌فرض، قالب pcapng است.

این گزینه باعث می‌شود فایل(های) خروجی با مجوز خواندن توسط گروه (group-read) ایجاد شوند (بدین معنی که فایل(های) خروجی می‌توانند توسط سایر اعضای گروه کاربری فراخوانده‌شده خوانده شوند).

چاپ شماره نسخه و گزینه‌ها و سپس خروج.

تنظیم نام رابط شبکه یا پایپ (pipe) برای استفاده در ضبط زنده بسته‌ها..sp نام‌های رابط شبکه باید با یکی از نام‌های فهرست‌شده در «tshark -D» (توضیح داده شده در بالا) مطابقت داشته باشند؛ همچنین می‌توان از یک شماره، همان‌طور که توسط «dumpcap -D» گزارش می‌شود، استفاده کرد.

اگر هیچ رابطی مشخص نشود، Dumpcap فهرست رابط‌ها را جستجو می‌کند، و در صورت وجود هرگونه رابط غیر لوپ‌بک (non-loopback)، نخستین رابط غیر لوپ‌بک را برمی‌گزیند، و اگر هیچ رابط غیر لوپ‌بکی وجود نداشته باشد، نخستین رابط لوپ‌بک را انتخاب می‌کند. اگر اصلاً هیچ رابطی وجود نداشته باشد، Dumpcap خطایی را گزارش کرده و ضبط را آغاز نمی‌کند.

نام‌های لوله (pipe) باید یا نام یک FIFO (لوله نام‌گذاری‌شده) باشد یا «-» برای خواندن داده‌ها از ورودی استاندارد (standard input). در سیستم‌های ویندوز، نام‌های لوله باید به شکل «\\.\pipe\pipename» باشند. داده‌های خوانده‌شده از لوله‌ها باید در قالب استاندارد pcapng یا pcap باشند. داده‌های pcapng باید ترتیبی از بایت‌ها (endianness) یکسان با میزبان ضبط‌کننده داشته باشند.

این گزینه می‌تواند چندین بار تکرار شود. هنگام ضبط از چندین رابط، فایل ضبط در قالب pcapng ذخیره خواهد شد، حتی اگر -P مشخص شده باشد.

استفاده از description به عنوان شرح در فایل ضبط برای رابط یا لوله‌ای که قبل از آن با -i مشخص شده است.

استفاده از name به عنوان نام در فایل ضبط برای رابط یا لوله‌ای که قبل از آن با -i مشخص شده است.

قرار دادن رابط در «حالت پایش» (monitor mode)؛ این قابلیت تنها روی رابط‌های Wi-Fi با استاندارد IEEE 802.11 و تنها روی برخی سیستم‌عامل‌ها پشتیبانی می‌شود.

توجه داشته باشید که در حالت پایش ممکن است آداپتور از شبکه‌ای که به آن متصل است جدا شود، به‌طوری که نتوانید از هیچ شبکه بی‌سیمی با آن آداپتور استفاده کنید. این امر در صورتی که در حالت پایش ضبط می‌کنید و با آداپتور دیگری به شبکه متصل نیستید، می‌تواند از دسترسی به فایل‌های روی یک سرور شبکه یا تحلیل نام‌های میزبان یا نشانی‌های شبکه جلوگیری کند.

این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینه -i استفاده شود، حالت پایش را برای همه رابط‌ها فعال می‌کند. اگر پس از یک گزینه -i استفاده شود، حالت پایش را برای رابط مشخص‌شده توسط آخرین گزینه -i قبل از این گزینه فعال می‌کند.

تنظیم کانال روی رابط؛ این قابلیت تنها روی رابط‌های Wi-Fi با استاندارد IEEE 802.11 و تنها روی برخی سیستم‌عامل‌ها پشتیبانی می‌شود.

مقدار freq فرکانس کانال است. type نوع کانال برای 802.11n و بالاتر است. مقادیر مجاز برای type عبارت‌اند از:

برای کانال‌های 802.11b/g استفاده می‌شود

کانال ۲۰ مگاهرتز (20 MHz)

کانال اصلی ۴۰ مگاهرتز و یک کانال فرعی پایین‌تر

کانال اصلی ۴۰ مگاهرتز و یک کانال فرعی بالاتر

کانال ۴۰ مگاهرتز، با centerfreq1 به عنوان فرکانس مرکزی آن

کانال ۸۰ مگاهرتز، با centerfreq1 به عنوان فرکانس مرکزی آن

دو کانال ۸۰ مگاهرتزی ترکیب‌شده، با centerfreq1 و centerfreq2 به عنوان فرکانس‌های مرکزی دو کانال

کانال ۱۶۰ مگاهرتز، با centerfreq1 به عنوان فرکانس مرکزی آن

کانال ۳۲۰ مگاهرتز، با centerfreq1 به عنوان فرکانس مرکزی آن

فهرست کردن انواع پیوند داده (data link) پشتیبانی‌شده توسط رابط و خروج. انواع پیوند گزارش‌شده می‌توانند برای گزینه -y استفاده شوند.

هنگامی که به همراه -D، -L، -S یا --list-time-stamp-types استفاده شود، خروجی ماشین‌خوان چاپ می‌کند. خروجی ماشین‌خوان برای خوانده شدن توسط Wireshark و TShark در نظر گرفته شده است؛ قالب آن ممکن است از نسخه‌ای به نسخه دیگر تغییر کند.

ذخیره فایل‌ها در قالب pcapng. این حالت پیش‌فرض است. این گزینه منسوخ شده است و ممکن است حذف شود.

محدود کردن تعداد بسته‌های مورد استفاده برای نگهداری بسته‌های ضبط‌شده در حافظه حین پردازش آن. اگر در ترکیب با گزینه -C استفاده شود، هر دو محدودیت اعمال خواهند شد. تنظیم این محدودیت، استفاده از ریسه (thread) جداگانه را برای هر رابط فعال می‌کند.

رابط در حالت بی‌قید (promiscuous mode) قرار داده نشود. توجه داشته باشید که رابط ممکن است به دلایل دیگری در حالت بی‌قید باشد؛ از این رو، نمی‌توان از -p برای اطمینان از اینکه تنها ترافیک ضبط‌شده شامل ترافیک ارسالی به یا از ماشینی است که Dumpcap روی آن اجرا می‌شود، ترافیک برودکست (پخش همگانی)، و ترافیک چندپخشی (multicast) به نشانی‌های دریافت شده توسط آن ماشین است، استفاده کرد.

این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینه -i استفاده شود، هیچ رابطی در حالت بی‌قید قرار نخواهد گرفت. اگر پس از یک گزینه -i استفاده شود، رابط مشخص‌شده توسط آخرین گزینه -i پیش از این گزینه در حالت بی‌قید قرار نخواهد گرفت.

ذخیره فایل‌ها به عنوان pcap به جای پیش‌فرض pcapng. در شرایطی که به pcapng نیاز است، مانند ضبط از چندین رابط، این گزینه نادیده گرفته خواهد شد. این گزینه به نفع گزینه -F منسوخ شده است و ممکن است حذف شود.

هنگام ضبط بسته‌ها، شمارش مداوم بسته‌های ضبط‌شده که معمولاً هنگام ذخیره ضبط در یک فایل نشان داده می‌شود نمایش داده نشود؛ در عوض، فقط در انتهای ضبط، تعداد بسته‌های ضبط‌شده نمایش داده شود. در سیستم‌هایی که از سیگنال SIGINFO پشتیبانی می‌کنند، مانند BSDهای گوناگون، می‌توانید با وارد کردن نویسه «status» خود (به‌طور معمول control-T، اگرچه ممکن است حداقل در برخی از BSDها به‌طور پیش‌فرض روی «غیرفعال» تنظیم شده باشد، بنابراین برای استفاده از آن باید آن را به‌طور صریح تنظیم کنید)، باعث نمایش تعداد فعلی شوید.

هنگام ضبط بسته‌ها، پیام اولیهٔ مشخص‌کنندهٔ رابط‌هایی که ضبط روی آن‌ها انجام می‌شود، پیام‌های مشخص‌کنندهٔ فایلی که ضبط در آن نوشته می‌شود، شمارش مداوم بسته‌های ضبط‌شده که معمولاً هنگام ذخیرهٔ ضبط در یک فایل نشان داده می‌شود، و پیام پایان ضبط مبنی بر تعداد بسته‌های ضبط‌شده، روی خطای استاندارد نمایش داده نمی‌شوند. این خروجی کمتری نسبت به گزینهٔ -q تولید می‌کند؛ فقط خطاهای واقعی روی خطای استاندارد نمایش داده می‌شوند.

در سیستم‌هایی که از سیگنال SIGINFO پشتیبانی می‌کنند، مانند BSDهای مختلف، می‌توانید با فشردن نویسهٔ «وضعیت» خود (معمولاً control-T، اگرچه ممکن است دست‌کم در برخی از BSDها به‌طور پیش‌فرض روی «disabled» تنظیم شده باشد، بنابراین برای استفاده از آن باید به‌طور صریح تنظیمش کنید) باعث نمایش تعداد فعلی شوید.

طول اسنپ‌شات (snapshot length) پیش‌فرض را برای استفاده هنگام ضبط داده‌های زنده تنظیم می‌کند. بیش از snaplen بایت از هر بستهٔ شبکه در حافظه خوانده نمی‌شود، یا روی دیسک ذخیره نمی‌شود. مقدار 0 طول اسنپ‌شات را 262144 تعیین می‌کند تا تمام بسته ضبط شود؛ این مقدار پیش‌فرض است.

این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینهٔ -i استفاده شود، طول اسنپ‌شات پیش‌فرض را تنظیم می‌کند. اگر پس از یک گزینهٔ -i استفاده شود، طول اسنپ‌شات را برای رابط مشخص‌شده توسط آخرین گزینهٔ -i پیش از این گزینه تنظیم می‌کند. اگر طول اسنپ‌شات به‌طور خاص تعیین نشده باشد، طول اسنپ‌شات پیش‌فرض (در صورت ارائه) استفاده می‌شود.

آمار هر رابط را در هر ثانیه یک‌بار چاپ می‌کند.

از یک ریسه (thread) جداگانه برای هر رابط استفاده می‌کند.

دایرکتوری را مشخص می‌کند که فایل‌های موقت (شامل فایل‌های ضبط) باید در آن نوشته شوند. رفتار پیش‌فرض در سیستم‌های سازگار با UNIX، مانند Linux، macOS، \*BSD، Solaris و AIX، استفاده از متغیر محیطی $TMPDIR در صورت تنظیم بودن، و در غیر این صورت پیش‌فرض سیستم، یعنی معمولاً /tmp است. در Windows، متغیر محیطی %TEMP% استفاده می‌شود که معمولاً به‌طور پیش‌فرض %USERPROFILE%\AppData\Local\Temp است.

اطلاعات کامل نسخه را چاپ کرده و خارج می‌شود.

داده‌های خام بسته را در outfile می‌نویسد. برای stdout از «-» استفاده کنید.

نوع پیوند داده (data link type) را برای استفاده هنگام ضبط بسته‌ها تنظیم می‌کند. مقادیر گزارش‌شده توسط -L مقادیری هستند که می‌توان استفاده کرد.

این گزینه می‌تواند چندین بار تکرار شود. اگر پیش از نخستین رخداد گزینهٔ -i استفاده شود، نوع پیوند ضبط پیش‌فرض را تعیین می‌کند. اگر پس از یک گزینهٔ -i استفاده شود، نوع پیوند ضبط را برای رابط مشخص‌شده توسط آخرین گزینهٔ -i پیش از این گزینه تنظیم می‌کند. اگر نوع پیوند ضبط به‌طور خاص تعیین نشده باشد، نوع پیوند ضبط پیش‌فرض (در صورت ارائه) استفاده می‌شود.

حالت کاربرد (application flavor) را تنظیم می‌کند. خروجی گزینهٔ -D و سایر رفتارها را برای ضبط بسته یا ضبط فراخوانی‌های سیستم و لاگ مناسب می‌سازد. حالت پیش‌فرض «wireshark» است.

در صورت پشتیبانی قالب فایل خروجی، یک یادداشت ضبط به فایل خروجی اضافه می‌کند.

این گزینه تنها در صورتی در دسترس است که بسته‌های ضبط‌شده را در یک فایل تکی ذخیره کنیم.

این گزینه ممکن است چندین بار مشخص شود. توجه داشته باشید که Wireshark در حال حاضر تنها نخستین یادداشت یک فایل ضبط را نمایش می‌دهد.

انواع برچسب زمانی (timestamp) پشتیبانی‌شده توسط رابط را فهرست می‌کند. اگر هیچ نوع برچسب زمانی قابل تنظیم نباشد، هیچ نوعی فهرست نمی‌شود.

هنگام تولید کد برای فیلتر ضبط، بهینه‌ساز libpcap را اجرا نمی‌کند. این گزینه در صورت مشکوک بودن به وجود باگ در بهینه‌ساز یا برای اهداف آموزشی مفید است.

روش برچسب زمانی رابط را تغییر می‌دهد.

مدت زمان بین گزارش‌های بسته‌های جدید را در طول ضبط بر حسب میلی‌ثانیه تنظیم می‌کند. همچنین دقت شرایط مدت زمان فایل را تعیین می‌کند. مقدار پیش‌فرض 100ms است.

--log-level <level>

--log-fatal <level>

--log-fatal-count <count>

--log-domains <list>

--log-debug <list>

--log-noisy <list>

--log-fatal-domains <list>

--log-file <path>