BPF 过滤 TCP 连接答案

【问题标题】：BPF Filter TCP ConnectionsBPF 过滤 TCP 连接
【发布时间】：2014-08-21 21:32:54
【问题描述】：

我正在尝试从 pcap 文件中捕获正确启动（使用 3 路协议：syn、syn-ack、ack）并正确结束的连接。

To capture connections that starts correctly I use the following filter:
(tcp.flags.syn == 1) || (tcp.flags.syn==1 && tcp.flags.ack==1)

我不只通过 ack 进行过滤，因为它会过滤每个包含 ack 且对我没用的包。所以我使用：SYN 或 SYN-ACK 标志来过滤。这仅用于启动连接，所以，我应该如何过滤包以获取结束包？

I'm using something like this: (tcp.flags.fin==1) || (tcp.flags.fin==1 && tcp.flags.ack==1)

我不认为这是正确的，因为我不知道每个连接到底是如何结束的，这取决于实现？还是总是一样？

【问题讨论】：

【解决方案1】：

对于 TCP 连接来说总是一样的，除非是对端重置连接的异常情况（RST 标志）。此外，在 Wireshark 中，您有一个方便的选项：如果您右键单击一个数据包并选择“跟随 TCP 流”，它将仅显示属于该连接的数据包，因此您可以看到它是如何开始和结束的......

【讨论】：