wireshark - 如何让 Wireshark 忽略“线上的字节”并使用“捕获的字节”

Question

我将 Npcap 的 NULL/loopback 捕获与 Wireshark v2.4.2 一起使用，我得到了完整的废话统计，因为出于某种原因，loopback“捕获”了太多“在线”：

如您所见，实际发送的数据包为 1476 字节，但 Wireshark 在网络上“捕获”了 2948 字节。这完全搞乱了各种统计数据，IO 图没有任何意义。这是一个错误（在 Wireshark 或 Npcap 环回捕获器中？）我怎样才能让 Wireshark 忽略该bytes on wire指标并bytes captured用于各种东西（如 io 图，或在“长度”列中显示它）

Answer 1

如果“捕获的字节数”小于“线上的字节数”，通常是因为捕获时设置了snaplen。

检查您的捕获选项（Wireshark: Capture -> Options），如果设置了 snaplen，您应该将其设置为默认值（通常为 262144）或其他一些较大的值，以确保捕获所有字节。

Answer 2

这可能是由于一个 Npcap 错误；请参阅Npcap 问题 #1524。