tcpdump发现不同ipid的数据包被拼接成一个大包

问题:发送端将3个大小为1460的TCP报文用tcpreplay回放到捕包机,其ipid均不相同,但是捕包机只收到了一个为4k+的大包。

原因:捕包机使用tcpdump捕包,需要经过网卡驱动,Linux2.6.29以上内核支持gro机制,网卡开启了gro后,会将同一tcp流的顺序报文合并为一个大包以提高处理效率。

解决方法:使用命令 ethtool -K eth0 gro off 关闭该网卡的gro功能即可。

TSO和GRO是网卡分别对TCP发、收进行的优化,都会影响wrieshark、tcpdump之类的捕包软件。参见我的前篇博文《winpcap/wireshark在win7 64位系统下IP头部结构长度为0的bug

参考:

http://www.pagefault.info/?p=159

http://blog.csdn.net/majieyue/article/details/7929398

你可能感兴趣的:(tcpdump,MTU,GRO,ipid)