wireshark的拆包与合并
Posted 一沙世界
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了wireshark的拆包与合并相关的知识，希望对你有一定的参考价值。
背景：分析较高并发情景下的通话质量不佳的原因，需要长期抓包。
一、自动打包
1. 指定以1MB的大小打包，这个必须在/var/tmp/目录下执行。
tcpdump -i ens32 -vvvv -C 1 -w test
2. 指定以100MB的大小打包，打1000个包
tcpdump -i ens32 -vvvv -C 100 -W 1000 -w test
好了，我们按照1GB打的包，分析的时候发现实在是太慢了……一个过滤条件就要等分钟单位的时间，怎么办？拆分！
二、拆分大包
进入Wireshark的安装目录，按照每200000个包的大小拆分打包。
editcap.exe -c 200000 d:\\wireshark\\ip00.pcap d:\\wireshark\\part\\part.pcap
执行完毕后，看到part目录下有这么多文件：
现在可以较快的分析RTP流了。新问题！一通通话跨越了多个分包，怎么办？合并！
三、合并打包
进入Wireshark的安装目录，将需要打包的几个小包放到目录wireshark\\partm下。
mergecap.exe -w d:\\wireshark\\69333to2177.pcap d:\\wireshark\\partm\\part*
以上是关于wireshark的拆包与合并的主要内容，如果未能解决你的问题，请参考以下文章