查看小于应有大小的 Wireshark 数据包

Question

当尝试从wireshark 解析.pcap 文件时，收集TCP 数据包。我正在尝试使用此处列出的信息解析这些文件：https://wiki.wireshark.org/Development/LibpcapFileFormat

正在发送的 TCP 数据包有一个参数状态，即数据包的大小。然而，这个大小通常大于在每个数据包顶部设置的wireshark数据包头。然而，这些数据包的大小远小于 snap len 全局数据包标头（如果我理解这是捕获的最大数据包）。

我没有看到 TCP 的属性吗？我不明白wireshark 捕获的数据包大小是如何小于数据包大小的。

Answer 1

我猜测您正在捕获特定主机上的数据包（在此示例中为Host B：https://wiki.wireshark.org/CaptureSetup/Ethernet#Capture_on_the_machine_you.27re_interested_in），并且从Host B 传输的一些数据包的大小比您预期的要小.假设是这种情况，这是因为 Wireshark 在在由于硬件卸载而由控制器添加任何必要的填充之前由捕获机制处理数据包。

如需进一步阅读，请参阅 Jasper Bongertz 的博文，The drawbacks of local packet captures。