利用libpcap读取数据报包 并且按照流分类 接口抓包，按流保存，并且分流

四元组是：

源IP地址、目的IP地址、源端口、目的端口

•  

五元组是:

源IP地址、目的IP地址、协议号、源端口、目的端口

•  

七元组是:

源IP地址、目的IP地址、协议号、源端口、目的端口，服务类型以及接口索引

每一个单行就是一个数据报，何如找出一条流，就是看一条数据报的五元组是否一样，是就表示他们是一条流里面的。上行的数据包就是指源ip发送出去的，下行的数据包就是目ip收到的。一条流就是目的端口和源端口之间相互发的数据。

附上读取包并且分流的代码：

void ethernet_protocol_callback(u_char *user, const struct pcap_pkthdr *packet_heaher, const u_char *packet_content)

packet_content是一个数据报全部的数据。

不能按以太网14字节 ip头部20个字节 算 因为有的可能有可选字段  就可能不是固定的20个字节，必须用头部的片偏移来算大小。

注意端口为两个字节 他是怎么样取的：ntohs(*(unsigned short *)(head_str + 14 + k * 4))  存在网络序变成主机序

还有就是开头不是14个字节 ，并且有的并不是按这个来的

以太网的有两个字节是类型判断 0x0800 表示IP4 0x86DD 表示IP6 0x0806 表示ARP