重组后监控分段数据包

Question

使用网络监控和数据包捕获工具（如Wireshark或Tshark） 我可以看到碎片包。

重新组装后如何查看这些数据包？

这些数据包没有到达应用层，可能的原因是什么？

Answer 1

基本上在Wireshark中，我会在鼠标右键菜单或Analyze工具栏上使用“Follow TCP stream”。此外，重新组装的数据包在“数据包”窗格中显示为附加选项卡（请参阅https://www.wireshark.org/docs/wsug_html_chunked/ChAdvReassemblySection.html）。

对于未到达应用程序的数据包，您可能需要检查防火墙设置，在某些情况下，由于内存缓冲区较低，内核可能会丢弃数据包。