问实现多个PCAP过滤器的最有效方法
EN

Stack Overflow用户

提问于 2013-09-02 18:48:43

回答 1查看 1.1K关注 0票数 1

我有一个应用程序，使用libpcap作为获取数据包的机制，我需要为应用程序的不同部分过滤出不同的协议。我需要考虑优化，因为流将有一个高速率(100-400 Mbps)。

我真正想要做的是设置一个实时捕获(没有过滤器)，然后在捕获完成后有选择地过滤数据包。这似乎是不可能的(据我所知，bpf是内置在捕获机制中的)。

如果这确实是不可能的话，还有另外两种方法(我想过了)，我不知道哪种方法会被认为更有效或更好：

回答已采纳

发布于 2013-09-02 19:11:47

fifo方法可能不是很有效，因为它涉及将大量的内存从A复制到B(例如，400 must缓冲-它们不能互相阻塞-到四个fifo，每个fifo都有一个不同的过滤器，决定扔掉累积的1600mbps的99.99% )。另一方面，多个捕获只在用户有实际需要做的事情时触发操作。过滤(通常)是在内核中完成的。

第三种方法是使用libwireshark ( Wireshark的较低部分)进行过滤(以及用于捕获的wtap )。这涉及到相当多的代码开销，因为libwireshark并不完全适合Wireshark之外的第三方使用。

然而，这也伴随着使用Wireshark的“显示过滤器”的能力，这些过滤器被编译成字节码，并具有相当的效率。许多过滤器可能会被编译一次，并且可以一个接一个地查看同一帧。您可能能够“堆栈”过滤器，例如"ip.tcp“意味着"ip”。

如果您能够生成所有过滤器中最常见的元素并将其作为BPF过滤器放置在您的捕获设备上，这将变得非常有效。然后，显示过滤器只查看其中至少一个可能感兴趣的数据。

票数 1

页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://stackoverflow.com/questions/18579216

复制

相似问题

问实现多个PCAP过滤器的最有效方法EN