Wireshark 捕获HTTP包的长度 与 IP包里的Total length有差异的原因

Wireshark不仅可以捕获TCP的包，它还把TCP数据中的HTTP包给分离出来了。

（本来HTTP报文应该作为TCP的数据与TCP报文一起被捕获，即应该是一条记录，Protocol栏是TCP；而现在把TCP和它的的数据部分-HTTP包变成两条记录了）

但是，如上图，解析IP报文头的时候看见的Total length为121字节，而Wireshark捕获到的对应的HTTP报文总长度为135字节，相差了14个字节。始终不明白为什么，以为出错了。又补了几个包试了试，发现好像每个都是这样。仔细琢磨一下，想起来了Wireshark捕获到包的时候会给数据包添上源Mac、目的Mac和Type（0X0800表示IP协议），加起来刚好是14个字节。这就解释了为什么Wireshark补到的HTTP包比分析IP头得到的结果多了14个字节。