以太网填充

Question

我在用Wireshark做我的项目。我给Google.com发送了一个ping，Wireshark说它的长度是57个字节(当我收到回复时，它是60字节长，包含6位填充。在我决定发送另一个数据包之后，Wireshark说它是56字节，回复又是60字节长，但是填充包含8位，假设我发送了一个42长度的数据包，我收到了60字节的回复，而填充包含24位。我想知道为什么。

Answer 1

IEEE 802.3描述了Ethernet帧的结构。正如它所说的，最小帧长度是64字节。在Ethernet链路上传输之前，每个小于64个字节的帧都应该用0填充。这个填充是由Ethernet网卡适配器完成的，所以您只能在接收到的帧中看到60字节的帧。事实上，Wireshark在传输帧离开操作系统并进入网络适配器之前，即在填充进程之前捕获它们。

请注意，Wireshark省略了帧名FCS ( frames )的最后4个字节，FCS用于检测损坏的帧。因此，您看到的是60个字节而不是64个字节。

Answer 2

你看到的只是游戏中的一小部分，数据包的最小帧长是64字节，必须是64字节或更高才能被认为是有效的，那么被NIC剥离的封装数据呢？您的计算机接收的是有效的数据字节，但是在解封装封装数据之后，字节变得更低(在您的情况下是60字节)，当您发送57,56字节的数据填充时，执行封装来扩展数据包字节，当数据包返回时，它被解除封装，几乎为零，因此数据包必然会提供不可预测的值，使用"tcpdump“来嗅探传输层数据包(TCP，UDP)，或者使用snort来提高它的效率。