c - 如何使用libpcap嗅探PPP数据包？

Question

我可以从eth0接口(interface)捕获数据包，并嗅探ip数据包，如下

/* IP header */
struct sniff_ip {
    u_char  ip_vhl;                 /* version << 4 | header length >> 2 */
    u_char  ip_tos;                 /* type of service */
    u_short ip_len;                 /* total length */
    u_short ip_id;                  /* identification */
    u_short ip_off;                 /* fragment offset field */
    #define IP_RF 0x8000            /* reserved fragment flag */
    #define IP_DF 0x4000            /* dont fragment flag */
    #define IP_MF 0x2000            /* more fragments flag */
    #define IP_OFFMASK 0x1fff       /* mask for fragmenting bits */
    u_char  ip_ttl;                 /* time to live */
    u_char  ip_p;                   /* protocol */
    u_short ip_sum;                 /* checksum */
    struct  in_addr ip_src,ip_dst;  /* source and dest address */
};

那么如果需要从PPP接口(interface)捕获数据包，如何定义头结构呢？

我只是注意到，在这种情况下， header 的长度是 32 个字节。

Answer 1

如果，当您使用 libpcap 在 PPP 设备上捕获时，pcap_datalink() 例程返回 DLT_PPP，那么您可以按照条目指示的方式定义 header the tcpdump.org link-layer header types page 中的 LINKTYPE_PPP/DLT_PPP :

PPP, as per RFC 1661 and RFC 1662; if the first 2 bytes are 0xff and 0x03, it's PPP in HDLC-like framing, with the PPP header following those two bytes, otherwise it's PPP without framing, and the packet begins with the PPP header.