networking - 如何找出网络堆栈数据包被过滤掉的位置

Question

最近，我发现自己不止一次遇到应用程序无法接收（多播 UDP）数据包的情况，尽管它们到达了 NIC，wireshark 已经捕获了传出的 IGMP 数据包，确认该应用程序实际上正在加入多播组。

但即使在wireshark 正在捕获时（即混杂模式可能让数据包通过NIC 本来会被过滤掉——无论出于何种原因），应用程序也没有收到数据包。换句话说，不是 NIC，而是驱动程序似乎正在丢弃数据包。

我如何深入研究以找出数据包误入歧途的地方？也许与粮食计划署有关？

Answer 1

如果您怀疑数据包已被 WFP 丢弃，那么您应该在netsh trace会话输出中看到它们。

1. netsh trace start scenario=wfp-ipsec
2. ...重现您的场景...
3. netsh trace stop

从跟踪中查看 .cab 文件中名为 NetEvents.xml 的文件。列出的事件FWPM_NET_EVENT_TYPE_CLASSIFY_DROP是 WFP 阻止数据包向上（或向下）传播网络堆栈的结果。