使用 Wireshark 检查 pcap 文件：[在捕获期间限制数据包大小]

Question

我正在使用 Wireshark 检查一个 pcap 文件，其中一些条目的信息字段中写有以下内容：

10001 → 27017 Len=121[Packet size limited during capture]

我了解到，当您使用 tcpdump 捕获数据包时会发生这种情况，而 tcpdump 会以特定长度切断数据包。

10001 → 27017 是什么意思？

在信息字段中显示 Len=121，但在长度字段中显示长度为 163 字节。正确的长度是多少？

Answer 1

10001 → 27017是什么意思？

正如@SteffenUllrich 指出的那样，这些是端口。

在信息字段中显示 Len=121，但在长度字段中显示长度为 163 字节。正确的长度是多少？

我不完全确定，但我认为长度的差异可能是因为[Packet size limited during capture]。

默认情况下，Director 有一个数据包大小限制来捕获网络上的数据。读取数据包捕获时，大于数据包大小限制的数据包将显示“捕获期间数据包大小受限”。捕获较大的数据包大小会增加数据包的处理时间。 (https://knowledge.broadcom.com/external/article/165718/error-packet-size-limited-during-capture.html)

所以，我的猜测是数据包是 163 字节，但只捕获了 121 个。