从L2层抓包的两个问题

1. 无法指定具体网卡接口

  1) 从内核看,socket(PF_PACKET,..,..)函数不提供对网卡(eth0/eth1)接口的筛选，但是可以对具体L3层

协议进行筛选列如socket(PF_PACKET,...,ETH_P_ALL) 抓所有L2层ether packet,

而socket(PF_PACKET,...,ETH_P_IP)则只抓取IP协议的包

 

  2) 从libpcap库看，libpcap采用了一个变通的方法: 先抓取所有网卡接口上的ether packet，

  通过ioctl将接口名(列如eth0)换算成网卡id号，再从抓取的包附带的id号来判断此包是否为所对应的

  网卡接口, 不是就在用户层丢掉。

  (socket(PF_PACKET,..,..)-->ioctl(..,SIOCGIFINDEX,...)-->recvfrom-->判断)

 

2.无法真正抓取到包

  这里 无论是socket(PF_PACKET)接口还是libpcap库所抓取的都是包的复制体，即此包仍然会发给正常的

  网络栈处理。从内核网络栈代码: netif_receive_skb函数可以看出，PACKET协议和IP等协议处理函数都是

  在一个循环内被调用，相互之间没有优先级

 

  虽然可以通过netfilter的接口达到实际抓包效果，但此接口已经在L3层了