wireshark - 如何使用 wireshark 从 tcpdump 获取到特定主机的连接数(计数)

Question

我想检查我的连接池库创建了多少个到特定主机的连接。我得到了 tcpdump，从这里如何使用 wireshark 获取已建立连接的数量。我可以使用 tcptrace 工具获取它，但我想知道如何使用 wireshark 来获取它。

Answer 1

多少可能是多少并发这会有点困难，但是在数据包捕获过程中有多少更容易，并且由于您正在使用 tcpdump，我假设这就是您正在寻找。

如果您的源 ip 是 192.168.1.1 并且目标主机是 192.168.1.2 然后应用这样的过滤器:

ip.src_host == 192.168.1.1 && ip.dst_host == DESTADDRESS && tcp.flags.syn == 1

如果您问题中的目标主机也有可能与源主机建立连接，那么源主机也将发回 SYN、ACK 以接受这些连接，因此要过滤掉这些连接，请将其添加到结束:

&& tcp.flags.ack == 0

应用该过滤器后，将仅显示新连接，然后您可以在 Wireshark 底部的状态栏中查看。它会显示总共有多少数据包，以及正在显示的数据包数量。显示的数据包数将是捕获过程中建立的连接数。

如果您正在寻找任何给定时间的并发连接，Wireshark 可能不是您的最佳选择，因为在这种情况下，您将寻找在相应的 FIN 或 RST(结束连接)，这更像是一种统计功能。

另外值得注意的是，如果捕获的源位于源主机上，则不能保证该捕获中的 SYN/连接已被接受/成功。您还需要验证是否为每个连接、SYN、SYN-ACK、ACK 执行了完整的三向握手。