为什么libpcap捕获不完整的数据包？

Question

我正在运行“tcpdump端口1025 -w out.pcap -s 4000”和所有从本地主机发送的数据包，我看到了“XXX字节在线，被捕获的54字节”（只捕获以太网和tcp头，未捕获数据）。 很明显，snaplen是4000，因此我无法弄清楚为什么数据包在中间被切断。 我也写过一个直接使用libpcap的程序，并且发生了相同的现象。 这发生在libpcap 1.1.1和1.2.0rc1上，但在libpcap 0.9.8上它工作！

我正在使用SLE10与SP3，并有另一台计算机完全相同的操作系统和程序安装在它的工作很好。

这是sample capture。

Answer 1

Linux内存映射捕获机制的libpcap支持存在一个错误，该错误在较新版本中得到修复;它应该固定在主干和1.2分支。这种支持在libpcap 0.x中不存在，所以它不在libpcap 0.9.8中。