大資料網路診斷系統項目總結

標籤：

背景

　　

網路資料流格式：

　　使用wireshark抓包工具，預設存取為pcap檔案

Pcap檔案格式：

　　檔案頭:  24B：Magic：4B 標示檔案的開始 + Major：2B 當前檔案主要的版本號碼 + Minor：2B+ThisZone：4B當地的標準時間+SigFigs:4B時間戳記的精度+SnapLen:4B最大的儲存長度+LinkType：4B鏈路類型

　　Packet包頭（16B）和Packet資料群組成

　　

Timestamp：時間戳記高位,精確到seconds

Timestamp：時間戳記低位，精確到microseconds

Caplen：當前資料區的長度，即抓取到的資料幀的長度，由此可以得到下一個資料幀的位置

Len：離線資料長度：網路中實際資料幀的長度，多數情況下和Caplen數值相等。

Packet資料：即Packet（通常就是鏈路層的資料幀去掉前面用於同步和標識幀開始的額8位元組和最後用於CRC校正的4位元組）具體內容，長度就是Caplen。注意：Pcap檔案裡面沒有規定捕獲的Packet資料包之間有什麼佔空間字元串，所以需要靠第一個Packet包確定下一組資料在檔案中的起始位置。

　　資料內容從DLC（資料連結控制層）頭開始，然後ip前序，傳輸層前序（TCP/UDP/ICMP/IGMP）,最後是傳輸層資料部分

　　每個資料包的前14位元組是以太幀頭，即鏈路層的資料幀頭，後面才是ip首部等內容。

乙太網路框架格式：

     前序（8byte）+目標地址（6byte）+源地址（6byte）+類型（2byte）+承載（46~1500）+幀檢驗（4byte）

最小幀長度64位元組，不包含8byte的前序

（1）只有檔案頭： size-pos<24

 (2) 檔案頭+部分資料包 size-pos<42

 (3)部分資料包 size-pos<53

(4) 剛好完整 if() return pos

 

方法：在readline

 

大資料網路診斷系統項目總結