wireshark - 是否可以使用基于接口的 tshark 对 .pcap 文件应用读取过滤器？

Question

我可以做类似的事情：

tshark -r filename.pcap -R -i wan0?

filename.pcap正在分析的数据包捕获文件在哪里wan0，我需要为其应用过滤器的接口是什么？

标签： wiresharkpcappacket-capturetshark

Answer 1

tcpdump 使用的普通 pcap 格式不包含有关捕获数据包的接口名称的信息。tshark 或 wireshark 默认使用的 pcapng 格式确实包含此信息。使用 pcapng 可以应用这样的显示过滤器：

tshark -r file.pcapng -Y 'frame.interface_name == "wan0"'

当然，这仅在 pcapng 文件包含在多个接口上捕获的数据包时才有意义。否则，此过滤器只会导致没有数据包或所有数据包。具体来说，它不会帮助在any伪接口上捕获，因为 pcapng 不会包含系统上各种接口的名称，而只会显示在单个any伪接口上捕获的所有数据包。