懂wireshark捕包（关于tcp）的进来下

懂wireshark捕包（关于tcp）的进来下

首先说一下1514字节是如何得到的。
以太网封装IP数据包的最大长度是1500字节，也就是说以太网最大帧长应该是以太网首部加上1500，再加上7字节的前导同步码和1字节的帧开始定界符，具体就是：7字节前导同步吗＋1字节帧开始定界符＋6字节的目的MAC＋6字节的源MAC＋2字节的帧类型＋1500＋4字节的CRC校验。
按照上述，最大帧应该是1526字节，但是实际上我们抓包得到的最大帧是1514字节，为什么不是1526字节呢？原因是当数据帧到达网卡时，在物理层上网卡要先去掉前导同步码和帧开始定界符，然后对帧进行CRC检验，如果帧校验和错，就丢弃此帧。如果校验和正确，就判断帧的目的硬件地址是否符合自己的接收条件（目的地址是自己的物理硬件地址、广播地址、可接收的多播硬件地址等），如果符合，就将帧交“设备驱动程序”做进一步处理。这时我们的抓包软件才能抓到数据，因此，抓包软件抓到的是去掉前导同步码、帧开始分界符、CRC校验之外的数据，其最大值是6＋6＋2＋1500＝1514。
再说一下TCP报文内部的结构。
一个完整的数据包格式，是数据帧｛IP包｛TCP或UDP包｛Data｝｝｝，如前所述｛IP包｛TCP或UDP包｛Data｝｝｝部分最大是1500字节。那么根据目前的IPv4协议，有如下规定：
IP首部，版本：4 ，包含源、目的IP、首部校验和，TTL等，共计20个字节。TCP首部，包含源、目的端口，一系列指针、标志、校验和等，共计20字节，因此实际可用的数据为1500-20-20=1460字节。
这1460字节，特殊情况下会减小。