tshark无法读取icmp6字段

Question

我可以使用tshark读取/重播所有标头和字段，直到触及IPv6标头（以太网标头和IPv6标头），但是当我尝试重播pcap文件以读取icmpv6字段时，这些字段没有任何显示。

这是tshark的错误吗？ 是否有其他工具可以读取数据包所有标头中的所有字段？

我正在使用的tshark版本是1.2.11

Answer 1

Bro是具有完全IPv6支持的网络流量分析工具，而tshark似乎在与IPv6斗争。 在Bro中，可以通过在跟踪上运行它来获取连接摘要，如下所示：

bro -C -r trace.pcap

并在同一目录中检查结果文件conn.log 。 您可能会发现附带的工具bro-cut有助于仅提取列的子集，例如，

bro-cut id.orig_h id.resp_h id.orig_p id.resp_p proto < conn.log

将会提取5元组的连接并将其打印到STDOUT，以便您可以继续使用自己喜欢的文本删节工具对其进行处理。