wireshark - IPv4 总长度超过数据包长度 - 总是 8.0.69.0

Question

我有一个问题...我们正在从我们的网络中捕获数据包，但收到很多“IPv4 总长度超过数据包长度”错误，并且总是来自 8.0.69.0。这个 IP 是虚假的，目的地似乎是 0.x、5.x 或 1.x，即也无效。一些谷歌搜索似乎表明其他人在使用 GRE/NAT 方案时也看到了 8.0.69.0。请问有人知道这可能是什么吗？

PCAP 已上传 here .

Answer 1

误差准确

错误“IPv4 total length exceeds packet length”的意思正是它所说的:IPv4 数据包中的字节数超过了为整个帧记录的字节数。

查看字段

我们可以指定帧长度(frame.len、frame.cap_len)和 IP 长度(ip.len)这两个字段以更深入地了解这一点:

$ tshark -r exceed-length.pcap -T fields -e frame.len -e frame.cap_len -e ip.len
1478    1478    3114
1536    1536    3114
1476    1476    13615
1399    1399    13781
1478    1478    3114
228     228     13615
195     195     13615
1478    1478    3114
1476    1476    13615
1478    1478    3114
265     265     3114
505     505     3114
1478    1478    3114
88      88      33514
1478    1478    3114
1478    1478    3114
1478    1478    3114

正如我们所见，每个帧的帧长度都超过数据包长度，有时超过一个数量级。

这是什么原因造成的？

当捕获程序以 pcap 格式(如此文件)保存数据包时，它会在每个数据包前面加上它捕获的帧的长度 (frame.cap_len)，实际帧长度(frame.len)和捕获)，以及时间戳。在大多数情况下，frame.cap_len 和 frame.len 根本没有区别，它们也不在这里。

如何修复？

如果要手动edit the hex数据包长度，有可能使此错误消失。

后续步骤

更有可能的是，“IPv4 总长度超过数据包长度”是您实际问题的附带结果。仅仅因为您在 Wireshark 中看到专家信息，并不一定意味着它是相关的。您应该继续进行故障排除。