如何在完全打开之前告诉 .pcapng 文件帧数？

Question

我在 AIX 上通过 iptrace 获得了巨大的 .cap 文件。该文件约为800MB。我在 MacOS 上，tshark 已经运行了一整天来解析它。

我的主机的 CPU 保持 99% 的占用率。我真的需要加快速度。

我已经添加了 tshark 的 -n 标志。

我正在考虑将帧号范围添加到过滤器中，这应该会缩小用于分析的数据包数量。但我不知道总帧数，因此无法真正添加该参数。

1. 我可以在完全打开 .cap 文件之前浏览一些关于它的一般信息吗？
2. 还有什么办法可以显着提高 tshark 的性能吗？

谢谢。

Answer 1

也许 TShark 陷入了无限循环，在这种情况下，问题不在于“文件太大”（我有一个 776MB 的捕获文件，通过tshark -V 运行它只需要几分钟，尽管在具有 16GB 主内存的 2.8 GHz Core i7 MBP 上），但问题是“TShark/Wireshark 有错误”。

在the Wireshark Bugzilla 上提交错误，指定已运行一天的 TShark 命令（所有命令行参数）。您可能必须提供捕获文件以供 Wireshark 开发人员进行测试，或者运行 TShark 的测试版本。