wireshark的拆包与合并

背景：分析较高并发情景下的通话质量不佳的原因，需要长期抓包。

一、自动打包

1. 指定以1MB的大小打包，这个必须在/var/tmp/目录下执行。

tcpdump -i ens32 -vvvv -C  -w test

2. 指定以100MB的大小打包，打1000个包

tcpdump -i ens32 -vvvv -C  -W  -w test

好了，我们按照1GB打的包，分析的时候发现实在是太慢了……一个过滤条件就要等分钟单位的时间，怎么办？拆分！

二、拆分大包

进入Wireshark的安装目录，按照每200000个包的大小拆分打包。

editcap.exe -c  d:\wireshark\ip00.pcap d:\wireshark\part\part.pcap

执行完毕后，看到part目录下有这么多文件：

现在可以较快的分析RTP流了。新问题！一通通话跨越了多个分包，怎么办？合并！

三、合并打包

进入Wireshark的安装目录，将需要打包的几个小包放到目录wireshark\partm下。

mergecap.exe -w d:\wireshark\69333to2177.pcap d:\wireshark\partm\part*