tcpdump：「キャプチャされたパケット」と「フィルターによって受信されたパケット」

呼び出すスクリプトがあります

tcpdump -v src host <IP address> and port <port number> >>out.txt 2>>err.txt -w capture.cap

スクリプトの他の部分がバックグラウンドでいくつかのトラフィックを開始する間、複数のIP-sで。パケットが戻ってくるかどうかを確認し、パッケージを受け取った場合のみ手動で調べます。tcpdumpのエラー出力は、最初はこれで問題ないように見えましたが、

問題は、主題が示唆しているように、「キャプチャされたパケット」と「フィルターによって受信されたパケット」の違いは何ですか？パケットを記録しなかったキャプチャがありますが、「0パケットがキャプチャされ、2パケットがフィルタによって受信されました」という出力が矛盾しているように聞こえます。最初は「フィルターが受信した0パケット」を探していましたが、パケットが受信されなかった場合は、常にエラー出力に書き込まれるわけではありません。では、これらの数字は何を示しているのでしょうか？

応答パケットが受信されなかった場合にそれらのケースをフィルタリングしたい場合、何を探すべきかを知る必要があります。

これが問題にいくつかの光を投げかけることを望みます。マンページから：

tcpdumpがパケットのキャプチャを完了すると、次の数を報告します。

キャプチャされたパケット（これは、tcpdumpが受信して処理したパケットの数です）。

フィルターによって受信されたパケット（これの意味は、tcpdumpを実行しているOS、および場合によってはOSの構成方法に依存します-コマンドラインでフィルターが指定されている場合、一部のOSでは、それらはフィルター式によって一致し、フィルター式によって一致した場合でも、tcpdumpがまだそれらを読み取って処理したかどうかに関係なく、他のOSでは、tcpdumpが読み取ったかどうかに関係なくフィルター式によって一致したパケットのみをカウントしますそして、それらをまだ処理し、他のOSでは、フィルター式に一致し、tcpdumpによって処理されたパケットのみをカウントします）;

カーネルによってドロップされたパケット（これは、OSがアプリケーションにその情報を報告する場合、tcpdumpが実行されているOSのパケットキャプチャメカニズムによって、バッファスペースの不足が原因でドロップされたパケットの数です。そうでない場合は、 0として報告されます）。

とがあります2009年からメーリングリストのエントリ説明は：

「filters received by filter」番号は、ps_recvへの呼び出しからの番号pcap_stats()です。BPF、それはだbs_recvから番号BIOCGSTATS ioctl。その数には、BPFに渡されたすべてのパケットが含まれます。これらのパケットは、まだlibpcapによって読み取られていない（したがってtcpdumpに渡されていない）バッファーにあるか、またはlibpcapによって読み取られたがtcpdumpにまだ渡されていないバッファーにある可能性があるため、パケットをカウントできます。 「キャプチャされた」とは報告されません。

たぶんプロセスが速すぎて殺されますか？パケットがキャプチャされた-c Nときにtcpdumpを終了するように指示するフラグもありNます。

あなたの問題はかなり専門的であるように思われるので、直接または何百もの言語バインディングの1つを介して使用libpcapすることもできます。

あなたの質問に対して、あなたが得るすべてはファイルのキャプチャされたパッケージなcapture.capので、それが空ではない実行を見て、これらを調べることができます、すなわち、ええと、行を数えますか？

tcpdump -r capture.cap | wc -l

libpcapを使用してキャプチャファイルのエントリ数を返すより良い方法があると思います...