c - 重组后监控碎片数据包

Question

使用网络监控和数据包捕获工具（如 Wireshark 或 Tshark）我可以看到碎片数据包。

重组后如何查看这些数据包？

这些数据包没有到达应用层，可能的原因是什么？

Answer 1

基本上在 Wireshark 中，我会在鼠标右键菜单或分析工具栏中使用“跟随 TCP 流”。此外，重新组装的数据包显示为“数据包”窗格中的附加选项卡（请参阅https://www.wireshark.org/docs/wsug_html_chunked/ChAdvReassemblySection.html）。

至于未到达应用程序的数据包，您可能需要检查防火墙设置，在某些情况下，由于内存缓冲区不足，内核可能会丢弃这些数据包。