为什么libpcap会捕获不完整的数据包？
我正在运行“tcpdump port 1025 -w out.pcap -s 4000”，并且从本地主机发送的所有数据包我看到“线路上的 XXX 字节，捕获了 54 字节”（仅捕获了以太网和 tcp 标头，未捕获数据）。 显然，snaplen 是 4000，因此我不明白为什么数据包被中间切开。 我也写了一个直接使用libpcap的程序，也出现了同样的现象。 这发生在 libpcap 1.1.1 和 1.2.0rc1 上，但是在 libpcap 0.9.8 上它有效！
我使用的是带有 SP3 的 SLE10，并且有另一台计算机，安装了完全相同的操作系统和程序，运行良好。
这是示例捕获。
I'm running "tcpdump port 1025 -w out.pcap -s 4000" and all packets sent from localhost I see "XXX bytes on wire, 54 bytes captured" (only ethernet and tcp headers are captured, data is not captured).
Obviously, the snaplen is 4000, therefor I can't figure out why the packet is cut in the middle.
I also wrote a program that uses libpcap directly and the same phenomenon occurred.
This happened on both libpcap 1.1.1 and 1.2.0rc1, however on libpcap 0.9.8 it worked!
I'm using SLE10 with SP3, and have another computer with exact same OS and programs installed where it works great.
Here's a sample capture.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
libpcap 对 Linux 内存映射捕获机制的支持存在一个错误，该错误已在较新版本中修复； 1.2应固定在树干和树枝上。 libpcap 0.x 中不存在该支持，因此 libpcap 0.9.8 中也不存在该支持。
There's a bug in the libpcap support for Linux's memory-mapped capture mechanism, which is fixed in newer versions; it should be fixed in the trunk and 1.2 branches. That support wasn't present in libpcap 0.x, so it wasn't present in libpcap 0.9.8.