tcpdump 文件大小 == 流量大小？

Question

我创建了一个 tcpdump 文件：

tcpdump -i eth0 host xxx.208.xxx.59 -n -s 0 -vvv -w /tmp/dump.dmp

持续时间约为3小时。

此文件现在有 450 MB。我现在可以说 IP xxx.208.xxx.59 在 3 小时内产生了 450 MB 的流量吗？

Answer 1

是的，也许，不一定。

pcap 文件不仅仅是发送/接收的流量的逐字节表示。会导致不准确的因素包括：

• pcap 文件开销。例如，每个数据包都有时间戳。
• pcap 的“数据包”概念与您对“数据包”构成的理解之间的阻抗不匹配。pcap 文件将包含包括链路层标头在内的所有内容，出于计费目的，很少将其视为客户流量限额的一部分。
• 丢失数据包。pcap 层不保证所有数据包实际上都会被传输到 tcpdump 的温和处理中。许多数据包可能已被丢弃（出于各种原因），并且它们不会成为您看到的计数的一部分。

如果要考虑流量，请使用从核心检索的端口或网络流量统计信息正确执行。