sockets - Wireshark对话列表的两面

Question

打开Wireshark对话列表时(统计信息->对话列表)，Wireshark将显示一列“数据包A-> B”和一列“数据包B-> A”。当我嗅探流量的一侧(物理上)时，我可以看到大约一半的mac地址仅在“A-> B”而不是“B-> A”上具有流量，而另一半是另一种方式周围，​​这很有意义，因为我在交谈的一侧嗅了一下。

问题是:wireshark如何确定将哪个地址称为“A侧”和将哪个地址称为“B侧”？从上面的描述很容易看出，它并不取决于哪一侧发送了更多的数据包/发送了第一个数据包，而且我很难相信它是随机决定的。

任何帮助将不胜感激。

Answer 1

看the code that fills this list ( ui/gtk/conversations_table.c:1726 ):

gtk_list_store_insert_with_values(store, &iter, G_MAXINT,
        CONV_COLUMN_SRC_ADDR, src_addr,
        CONV_COLUMN_SRC_PORT, src_port,
        CONV_COLUMN_DST_ADDR, dst_addr,
        CONV_COLUMN_DST_PORT, dst_port,
        CONV_COLUMN_PACKETS,  conv_item->tx_frames+conv_item->rx_frames,
        CONV_COLUMN_BYTES,    conv_item->tx_bytes+conv_item->rx_bytes,
        CONV_COLUMN_PKT_AB,   conv_item->tx_frames,
        CONV_COLUMN_BYTES_AB, conv_item->tx_bytes,
        CONV_COLUMN_PKT_BA,   conv_item->rx_frames,
        CONV_COLUMN_BYTES_BA, conv_item->rx_bytes,
        CONV_COLUMN_START,    start_time,
        CONV_COLUMN_DURATION, duration,
        CONV_COLUMN_BPS_AB,   tx_ptr,
        CONV_COLUMN_BPS_BA,   rx_ptr,
        CONV_INDEX_COLUMN,    idx,
        -1);

…我们可以看到它们在内部没有使用“地址A”和“地址B”， 是数据包的“源”和“目标”地址。您还可以看到，“A→B”列将显示TX(即已发送，传出)计数，而“B→A”列将显示RX(即已接收，传入)计数。