tcpdump 工作在协议栈的那一层？

lewin_ray

316953425 发表于 2014-01-17 10:35
回复 2# Godbach
兄台好，有个问题想请教一下：
既然说TCP/IP协议栈中没有物理层，最底层就是链路层，可 ...

既然有包头也有包尾了吧？分别是多少字节的长度哩？

nswcfd

回复 8# 316953425
这个frame可以认为是一种“元信息”，即对报文的描述信息。
比如抓包的时间，距离上一个包的间隔时间，实际包长（不同于命令行的capture length）等。
这些都~不是~报文payload里的信息。


   

lewin_ray

回复 12# nswcfd
什么意思？

   

nswcfd

8楼在问wireshark里的显示的frame包头是哪一层？

txchxl

Frame是整个报文的纵览信息，并不是实际报文，你可以把它当作是wireshark 的解释说明文档来看，换个抓包工具再看可能展示的就不一样了。报文从帧开始才是实际部分。
回复 14# nswcfd


   

nswcfd

14楼的`？'应该换成`。'

pwpal

我理解这个wireshark看到的frame，就是wireshark解析出来的内容，是一个帧（frame）。

linux的协议栈与硬件最接近的地方看到的报文，是封装好了的二层报文，最外层就是目的mac，源mac、type这种。fcs和pad一般是硬件加进来的。
供楼主参考。

316953425 发表于 2014-01-17 10:35
回复 2# Godbach
兄台好，有个问题想请教一下：
既然说TCP/IP协议栈中没有物理层，最底层就是链路层，可 ...