奇怪的Wireshark行为（标记为TCP和UDP的单个数据包）

Question

我有一个从this website下载的大型PCAP文件。 （你可以download the original pcap file：368 MBs）

您也可以download a short version that contains only some of the buggy packets。

此文件中的某些数据包有些奇怪。其中有1113个标有sFlow的数据包，对于您应用于数据包的wirehark过滤器并不重要，您总是会在窗口中看到它们（或其中的一部分）：

更清楚的是看一些屏幕截图：

未应用过滤器

过滤以仅查看tcp个数据包：

过滤以仅查看udp个数据包：

过滤以查看ip.addr == 68.64.21.64 的数据包

这些数据包出了什么问题？

Answer 1

这些数据包属于sFlow类型。它们用于网络采样，因此它们包含其他网络数据包的样本。显示过滤器似乎不仅适用于sFlow数据包本身，也适用于每个内部数据包。所以“tcp”显示过滤器会留下那些包含tcp样本的sFlow数据包（它们显然是udp）。对于地址过滤也是如此。

您可以检查内部数据包，如图

所示

不确定过滤器行为是否正确，我也被输出逗乐了。我想，在Wireshark bug database打开门票听听开发者的意见真是太好了。