winpcap 天生缺陷

1)winpap  在大資料量的情況下容易丟包，原因是資料包從網卡到應用程式需要經過多次copy,首先從網卡拷貝到核心緩衝區，從核心緩衝區copy到應用緩衝區；在PC cpu低的情況下丟包很明顯，尤其是做千兆網路資料包捕獲的時候就更加顯現出來了。

2)winpcap 是旁聽模式，所以無法阻斷UDP應用，無法流量限制，並容易資料丟包；阻斷規則有可能引起網路中斷或無效；

3)wincpap 即使被你的應用程式截取後，資料包也會繼續往上層傳遞，比如wireshark也能抓到你的資料包;

 

網路監視軟體大都採用大都採用WINPCAP作為驅動程式，只是開發上層一些介面應用而已因此大同小異，所以原理上決定只能採用旁聽模式也必然效能低下、功能缺乏；

WINPCAP驅動是工作在協議高層所以必須接受火牆的管理因此首先效率很低、效能提高也就成了奢望；網路監控最核心的關鍵區段就是引擎驅動部分,所以要解決這個問題,還是得從源頭下手,因為winpcap是一個Ndis協議驅動,所以尋在固有的缺陷,在如今的大資料時代，徹底解決該問題,只能編寫自己的Ndis中介層過濾驅動。