pcap_open_dead模拟完整的UDP数据包捕获

Question

在回答了有关创建pcap文件的问题之后，我现在想模拟一个完整UDP数据包的保存，包括以太网，IP和UDP标头。

我应该使用哪种DLT_XXX类型？ 我相信使用pcap_open_dead（DLT_RAW，65535）时pcap_dump（）会跳过以太网头。

Answer 1

如果要模拟完整的UDP-over-IP-over-Ethernet数据包，则需要DLT_EN10MB （名称中的“ 10MB”为历史记录； DLT_EN10MB实际上表示“所有类型的以太网”）。

（ DLT_RAW适用于最低级别的报头用于IP的数据包;它不跳过以太网报头，这意味着您不必提供以太网报头，实际上，它要求您不提供一个-如果您确实提供了一个，它将被写入文件，这会使读取文件的程序感到困惑，因为他们希望数据包以IPv4或IPv6标头而不是以太网标头开头。）