跟随 tcp 流 - 字段“流索引”在哪里？来自？
Wireshark 有一个名为“跟随 tcp 流”的功能，位于菜单项“分析”下。
当我使用它时，会生成一个屏幕捕获过滤器，如下所示：
tcp.stream eq 1
这个索引从哪里来？
我在包含它的数据包中找不到任何字段......
Wireshark has a that feature called "follow tcp stream", under the menu item "Analyze".
When I use it, a screen capture filter is generated, something like:
tcp.stream eq 1
Where does this index come from?
I can't find any field in the packet that contains it...
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（3）
流索引是内部 Wireshark 映射到：[IP 地址 A、TCP 端口 A、IP 地址 B、TCP 端口 B]
相同 tcp.stream 值的所有数据包应具有相同的值这些字段（尽管 src/dest 将针对 A->B 和 B->A 数据包进行切换）
请参阅 Wireshark 中的统计/对话/TCP 选项卡以显示这些流的摘要
the stream index is an internal Wireshark mapping to: [IP address A, TCP port A, IP address B, TCP port B]
All the packets for the same tcp.stream value should have the same values for these fields (though the src/dest will be switched for A->B and B->A packets)
see the Statistics/Conversations/TCP tab in Wireshark to show a summary of these streams
流索引是 Wireshark 内部的。它只是使用一个数字来唯一标识一个 TCP 流。
Stream indexes are Wireshark-internal. It just uses a number to uniquely identify a TCP stream.
除了具有相同的源和目标 IP 和端口之外，流中的包还符合整个开放-传输-关闭通信序列。因此，我猜想当 SYN 包到达时，Wireshark 在内部创建一个新的流 ID，并跟踪此对话中的所有包，直到两端完成它（FIN/RST 标志）。
使用 tcp.stream 过滤器过滤包对于分析特定序列非常有用。
Besides having same source and destination IPs and ports, packages within a stream conform a whole open-transmit-close communication sequence. So I guess Wireshark internally creates a new stream ID when SYN-ed package arrives and keeps track of all packages in this dialogue until both ends finish it (FIN/RST flags).
Filtering packages with tcp.stream filter is very useful to analyze a particular sequence.