在 python 中解析原始 .pcap 流

Question

让我先描述一下我的项目的架构。我正在使用tcpdump ... | nc <vm_addr> 1111 从路由器转储数据包，将它们转换为虚拟机，该虚拟机为此目的拥有大量内存。

在虚拟机上，我计划使用我的 python 脚本读取数据包，然后例如按它们使用的端口对数据包进行排序。

我想知道哪种方法最好，因为大多数 python pcap 库都可以从文件中读取，但不能从套接字或文件处理程序中读取。

Answer 1

pypcap怎么样？

$ sudo apt-get install libpcap-dev

$ pip install pypcap

套接字可以像文件一样读写。见this StackOverflow question。对于突发流量，实现循环和一些（StringIO 或文件）缓冲可能是个好主意。