tshark无法读取icmp6字段

Question

我能够用tshark读取/重放所有的报头和字段，直到命中IPv6报头(以太网报头和IPv6报头)，但是当我试图重放pcap文件以读取icmpv6字段时，这些字段没有任何显示。

这是tshark的bug吗？是否有其他工具可以读取数据包所有报头中的所有字段？

我使用的tshark版本是1.2.11

Answer 1

Bro是一个完全支持IPv6的网络流量分析工具，而tshark似乎很难与IPv6抗衡。在Bro中，您可以通过在跟踪上运行它来获取连接摘要，如下所示：

bro -C -r trace.pcap

并检查同一目录中的结果文件conn.log。您可能会发现附带的工具bro-cut有助于仅提取列的子集，例如，

bro-cut id.orig_h id.resp_h id.orig_p id.resp_p proto < conn.log

我将提取连接5元组并将其打印到STDOUT，这样您就可以继续使用您最喜欢的文本处理工具处理它。