pcap - 如何读取多个 > 2GB 的 pcap 文件？

Question

我正在尝试使用 libpcap 解析大型 pcap 文件，但存在文件限制，因此我的文件以 2gb 分隔。我有 10 个 2gb 的文件，我想一次性解析它们。是否有可能在接口上按顺序（每个文件分别）提供这些数据，以便 libpcap 可以在同一次运行中解析它们？

Answer 1

我不知道有任何工具可以让您一次重播多个文件。

但是，如果您有磁盘空间，则可以使用mergecap将十个文件合并为一个文件，然后重播。

Mergecap 支持按照以下方式合并数据包

1. 每个文件中每个数据包时间戳的时间顺序
2. 忽略时间戳并执行相当于“cat”的数据包版本；将第一个文件的内容写入输出，然后是下一个输入文件，然后是下一个。

Mergecap 是Wireshark发行版的一部分。