linux - 从cap文件中一一读取tcp数据包？

Question

可以从文件中一个一个地读取数据包吗？
我想在这种情况下拆分我的cap文件取决于数据包的内容，例如当我捕获一个长期的数据包流时，我只需要一些数据包进行抽象，例如我只想抽象一个tr069会话，从做一个 rpc 调用到响应结束，然后将这些数据包重定向到一个文件，当然，它们可以混合许多其他数据包，这没问题，我只需要这些数据包，然后我将结果文件作为我的记录，那怎么办呢？
tcpdump 或 tshark 或任何其他 unix utils？

Answer 1

也许 tcpdump 的过滤器可以解决您的问题。您可以使用 tcpdump 读取您的 cap 文件并将过滤后的结果直接输出到文件。例子：

tcpdump -r big.pcap -w small.pcap "src port 2438"

有关过滤器的更多信息，请参见pcap-filter(7)的手册页。