Wireshark与设备解析字节不一致问题

本文可以在我的资源里免积分下载：http://download.csdn.net/detail/shizhixin/9406103

一、     问题

对于一个PCAP包，用Wireshark的Conversions统计的包字节数（图1），与设备解析得到的字节数（图2）不一致，设备解析后的字节数比Wireshark的字节数要少，但是包数是相同的。

图1：原始数据包wireshark 会话统计截图

 

图2：设备抓取数据包wireshark 会话统计截图

 

二、     问题的原因

不是丢失包而导致的字节问题，因为包数并没有减少，只是字节减少了。具体原因是用Wireshark抓包抓出来的数据会对不满60字节的数据都做了填充，保证满60字节，如下图：

而设备的流量引擎将这些填充数据数据都去掉了，统计的是真实数据的字节数，所以会少了填充的字节数。即Wireshark抓包的字节数 = 设备解析的字节数 + 有填充的字节数。

三、     实验验证

我们随机找了两个包进行了实验，具体过程如下：

实验一 http06.pcap

 

端口A-B	方向	包数	字节数
52314-80	A>B	4	544
52314-80	B>A	2	1420
52312-80	A>B	3	1275
52312-80	B>A	5	1169

图3：Wireshark统计的字节数

前置设备收到会话统计

端口A-B	方向	包数	字节数
52314-80 </