tshark 无法读取 icmp6 字段

【问题标题】：tshark not able to read icmp6 fieldstshark 无法读取 icmp6 字段
【发布时间】：2012-08-03 17:56:55
【问题描述】：

我可以使用 tshark 读取/重放所有标头和字段，直到点击 IPv6 标头（以太网标头和 IPv6 标头），但是当我尝试重放 pcap 文件以读取 icmpv6 字段时，没有显示这些字段。

这是 tshark 的 bug 吗？是否有任何替代工具可以读取数据包所有标头中的所有字段？

我使用的tshark版本是1.2.11

【问题讨论】：

【解决方案1】：

Bro 是一个完全支持 IPv6 的网络流量分析工具，而 tshark 似乎与 IPv6 有冲突。在 Bro 中，您可以通过在跟踪上运行它来获取连接摘要，如下所示：

bro -C -r trace.pcap

并检查同一目录中的结果文件conn.log。您可能会发现随附的工具 bro-cut 有助于仅提取列的子集，例如，

bro-cut id.orig_h id.resp_h id.orig_p id.resp_p proto < conn.log

将提取连接 5 元组并将其打印到 STDOUT，以便您可以继续使用您喜欢的文本咀嚼工具对其进行处理。

【讨论】：