重新組裝後監控分片數據包

Question

使用網絡監控和數據包捕獲工具（如Wireshark或Tshark） 我可以看到分段數據包。

如何在重新組裝後看到這些數據包？

這些數據包沒有到達應用層，可能的原因是什麼？

Answer 1

基本上在Wireshark中，我會使用鼠標右鍵菜單或分析工具欄上的「Follow TCP stream」。此外，重新組合的數據包在「數據包」窗格中顯示爲附加選項卡（請參閱https://www.wireshark.org/docs/wsug_html_chunked/ChAdvReassemblySection.html）。

對於未到達應用程序的數據包，您可能需要檢查防火牆設置，並且在某些情況下，由於內存緩衝區較低，內核可能會丟棄數據包。