☰

pcap 文件比同期 ifconfig TX/RX 差异小 20 倍

tag-icon • tag-icon linux openwrt tcpdump modem
pcap 文件比同期 ifconfig TX/RX 差异小 20 倍

我在 USB 调制解调器上以网卡模式运行 tcpdump。

[   18.260000] cdc_ncm 1-1.1:1.1 wwan0: register 'cdc_ncm' at usb-ehci-platform-1.1, Mobile Broadband Network Device, 0c:5b:8f:27:9a:64

我运行了几分钟，并在前后运行 ifconfig 以查看计数器差异。

{
    sh -c '
    fn1() {
        date
        echo $1
        ifconfig wwan0
        echo
    } >&2
    fn1 before
    tcpdump -i wwan0 -w - &
    sleep 600
    kill $!
    wait
    fn1 after
    ' >day3.pcap
} 2>&1 | tee day3.txt

结果：

Sun Jul 26 13:37:32 AST 2015
before
...
          RX packets:45568603 errors:0 dropped:0 overruns:0 frame:0
          TX packets:42531282 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1843669466 (1.7 GiB)  TX bytes:2947749207 (2.7 GiB)


tcpdump: listening on wwan0, link-type EN10MB (Ethernet), capture size 65535 bytes
44788 packets captured
44802 packets received by filter
0 packets dropped by kernel
Sun Jul 26 13:47:32 AST 2015
after
...
          RX packets:45585747 errors:0 dropped:0 overruns:0 frame:0
          TX packets:42558941 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1845868782 (1.7 GiB)  TX bytes:3158560778 (2.9 GiB)
  • 数据包：42558941 + 45585747 - 42531282 - 45568603 = 44803
  • 字节：1845868782 + 3158560778 - 1843669466 - 2947749207 = 213 010 887

正如您所看到的，数据包数量几乎相同。

day3.pcap大小只有12Mb

$ tshark -r day3.pcap -z io,stat,0,"SUM(frame.len)frame.len" | tail -5
|                |1         |     |
| Interval       |    SUM   |     |
|---------------------------|     |
|   0.0 <> 599.6 | 12087649 |     |
===================================

为什么 ifconfig 显示 200Mb 的差异？ 213010887 / 44803 = 4754。什么？ MTU仅为1500

答案1

一些旧版本的 tcpdump 会截断它们捕获的数据包，这是一些相关信息。这将导致它存储的数据少于接口上接收的数据。

根据两者的数据包计数，我假设这不是防火墙或混杂模式切换错误，某些接口拒绝进入混杂模式并丢弃绑定到其他 MAC 地址的流量。

相关内容