案列

通过zabbix的突增流量，达到阈值后触发一个动作，执行本地的60s抓包命令。

60s 超时 筛选端口 7379 7380..    -X(显示详细信息)  nn：显示port v：输出一个稍微详细的信  
timeout  60 tcpdump -i em1 prot 7379 or port 7380 or prot 7381 -Xvnn |grep  -C 4 GET > /data/tcpdump/$(data +%F-%H:%M:%S).txt

可以写成脚本通过zabbix监控异常流量，触发阈值，执行本地脚本
1.配置一个【动作】，【条件】设置流量>100M,触发动作指定主机，【操作】zabbix客户端执行本地脚本。

2.脚本需要在管理页面增加，确认启用。
image.png
3.三个权限问题

zabbix用户可执行权限
echo -e "zabbix ALL=(root)"  NOPASSWD:ALL" >> /etc/sudoers
存放tcpdump输出文件的可写权限。
chown -R zabbix:zabbix   /data/tcpdump
使用setcap来授予tcpdump必要的权限，不然zabbix用户没权限执行。
setcap cap_net_raw,cap_net_admin=eip /usr/sbin/tcpdump
检验：
su zabbix
sh  tcpdump.sh  可以正确执行，不报错即可。