更大的问题是一般如何使用实时 ETW 网络堆栈事件，但我对Microsoft-Windows-NDIS-PacketCapture 提供程序特别感兴趣。所有其他网络堆栈提供程序部分工作，但 NDIS-PacketCapture (NDIS-PC) 根本不起作用，所以这可能是我可以在这里问的最简单的问题。
我使用以下代码作为基础并对其进行了很少的修改以使其实时工作：http: //msdn.microsoft.com/en-us/library/windows/desktop/ee441325(v=vs.85) .aspx
我所做的更改是：
在执行任何其他操作之前调用 StartTrace 以启动 NDIS-PC 会话。在属性结构 EVENT_TRACE_PROPERTIES 中，设置 LogFileMode = EVENT_TRACE_REAL_TIME_MODE、LogFileNameOffset = 0 和 Wnode.Guid = 我编造的随机 GUID。
调用状态 = EnableTraceEx2(hSession, &Current_Guid, EVENT_CONTROL_CODE_ENABLE_PROVIDER, TRACE_LEVEL_VERBOSE, 0, 0, 0, NULL); 其中 hSession 是使用 StartTrace 启动的会话，Current_Guid 是
{0x2ED6006E,0x4729,0x4609,{0xB4,0x23,0x3E,0xE7,0xBC,0xD6,0x78,0xEF}}；
然后使用 LoggerName = 某个宽字符串、LogFileName = NULL 和 LogFileMode = EVENT_TRACE_REAL_TIME_MODE 调用 OpenTrace；
最后在上面刚刚打开的跟踪句柄上调用 ProcessTrace。
同样，让其他所有内容与 MSDN 示例中提供的相同
使用相同的代码将提供程序更改为其他任何内容，例如 Microsoft-Windows-Winsock-AFD 或 Microsoft-Windows-TCPIP让我调用我定义的记录回调（但是，我仍然无法检索属性，但我不会进一步深入研究以使这个问题尽可能简单）。当我使用 NDIS-PC 时，我收到 0 个回调。我尝试使用 ControlTrace 手动刷新但没有任何成功。我也尝试过定义“EventCallback”而不是“EventRecordCallback”，但没有成功。
我查看了此过程中涉及的所有数据结构，并在每个提供者之间进行了比较，它们看起来都正确且相同。我查看了函数的所有返回值和返回的数据结构，它们在我尝试过的提供程序之间看起来也一样。
我通过调用“logman”My Trace Session 04“-ets”查看了会话属性，它对于 NDIS-PC 和 TCPIP 看起来相同：
C:\windows\system32>logman“我的跟踪会话 04”-ets
名称：我的跟踪会话 04 状态：
运行根路径：%systemdrive%\PerfLogs\Admin 段：
关闭计划：开启名称：我的跟踪会话 04\我的跟踪会话 04 类型：
跟踪追加：关闭循环：关闭覆盖：
关闭缓冲区大小：64 缓冲区丢失：0 缓冲区写入：0 缓冲区刷新计时器：1 时钟类型：性能文件模式：实时提供者：名称：Microsoft-Windows-NDIS-PacketCapture 提供者指南：{2ED6006E-4729-4609-B423-3EE7BCD678EF} 级别：
5（获胜：详细）关键字全部：0x0 关键字任意：
0xffffffffffffffff (Ethernet802.3,WirelessWAN,Tunnel,Nativ e802.11,PacketStart,PacketEnd,ut:SendPath,ut:ReceivePath,ut:L3ConnectPath,ut:L2C onnectPath,ut:ClosePath,ut:Authentication,ut:Configuration,ut: Global,ut:Dropped,ut:PiiPresent,ut:Packet,ut:Address,ut:StdTemplateHint,ut:StateTransition,win:Res ponseTime,Microsoft-Windows-NDIS-PacketCapture/Diagnostic,0x2,0x4,0x8,0x10,0x20 , 0x40,0x80,0x100,0x400,0x800,0x1000,0x2000,0x4000,0x20000,0x40000,0x80000,0x10000 0,0x200000,0x400000,0x800000,0x1000000,0x2000000,0x4000000,0x8000000,0x10000000, 0x20000000,0x400000000000,0x800000000000,0x2000000000000, 0x400000000000000,0x80000 000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000英尺0000000,000000000000,0000000000,0000000000,0000000000,000000000000000000000000英尺0000000000000000000000000000000000000000000000000000000英尺。0x4000000000000000) 属性：0 过滤器类型：0命令成功完成。
我也尝试过使用 logman 手动启动会话，然后在代码中打开它进行处理，但这对我也不起作用。我也尝试只写入一个 ETL 文件，但这也不起作用。我尝试了更多的东西，但没有任何效果。
我已经吞噬了 Internet 上与实时 ETW 消费（MSDN、Google 搜索、Stackoverflow 等）有关的所有内容，但我还没有看到一个完整的实时 ETW 事件消费示例。所有示例都显示来自 ETL 文件的事件消耗或将记录的事件导出到 ETL 文件，然后只是说进行一些参数更改以使实时消耗工作。我相信我上面总结的代码更改反映了这些更改。
我在 Win7 Ultimate 上使用 VS2010 SP1 创建 32 位控制台应用程序。我也尝试过创建 64 位应用程序，但没有任何改进。
以下两个帖子是相关的，但在我尝试/强制执行时对我没有任何影响。在实时模式下，代码将会话名称复制到属性结构的末尾，并且日志文件偏移量无论如何都需要为 0。我认为我没有任何对齐问题，因为所有其他提供商都可以正常工作：
Windows ETW：内核使用者未收到任何 EventCallback 或 BufferCallback 事件 Windows ETW：StartTrace 失败并出现错误 87 (ERROR_INVALID_PARAMETER)
我觉得我错过了一些小而琐碎的东西，这应该可以工作。我会很感激任何帮助。