tcpreplay：以相反的顺序重播 pcap

Question

有没有办法以相反的顺序重播预先录制的 pcap 文件？即从文件中最后一个包开始，不改变包之间的延迟？

我还尝试使用scapy 反转 pcap 本身，如下所示：

>>> from scapy.all import *
>>> pkts = rdpcap("telemetry.pcap")
>>> pkts.reverse()
>>> wrpcap("telemetry_rev.pcap", pkts)

这段代码确实有效，因为文件中的数据包顺序被颠倒了。问题是它没有触及数据包的时间戳，所以我最终得到了数据包之间的负延迟（看下图），tcpreplay 没有处理。有什么想法吗？

Answer 1

Wireshark 提供“时移”功能。您可以尝试 Edit -> Time Shift 在反向文件上，然后将数据包 1 的时间设置为您选择的某个时间，然后将最后一个数据包的时间设置为您选择的另一个时间，并让 Wireshark 推断所有其他数据包之间的时间戳。

您可能还想查看editcap，它还提供时间调整功能。