如何使用 tshark 提取网络流量信息？答案

【问题标题】：How to extract network traffic information using tshark?如何使用 tshark 提取网络流量信息？
【发布时间】：2015-11-10 11:32:18
【问题描述】：

我需要分析 802.11g 的 Ch 1 中发生的无线流量。我已经使用 NETMON 作为 test.cap 文件捕获了所有流量日志。 Q：如何使用 tshark 将信息提取到合适的格式，以便进一步进行后期处理？

【问题讨论】：

您要提取哪些特定信息？
我只想绘制特定时间段内的无线活动。
“活动”表示“每秒传输的数据包”，“活动”表示“每秒传输的字节数”，还是其他活动度量？
bytes/s 或 packet/s 都可以，如果它反映了 Ch11 中的实际活动。问题是我正在使用自己的 AP->STA 设置在 CH14 中运行实验。虽然从 802.11g 波形来看 Ch14 和 Ch11 相距甚远，但我仍然想确认 Ch14 中的突然 TP 下降是否不是由于 Ch11 中的高用户活动。在 Ch11 中有许多 AP 在运行。我已经捕获了 Ch11 中的所有活动，但在 wireshark 中它只显示协议中的 802.11。因此，如果我在 Ch14 的实验中 TP 突然下降，我只想看到 Ch11 同时有高活动。

【解决方案1】：

我已经捕获了 Ch11 中的所有活动，但在 wireshark 中它只显示协议中的 802.11。

这通常意味着“流量已加密，而 Wireshark 没有足够的信息来解密它”；它确实代表活动。

因此，如果您在通道 11 上进行捕获，那么 Wireshark 中的 I/O 图（而不是使用 TShark 提取并进一步处理的任何内容）应该足以显示该通道上的活动水平。如果您想在更高级别查看该活动是什么类型的流量，您只需要剖析它，但听起来好像您只关心活动，无论数据包是什么。

【讨论】：