tcp帧头帧尾过滤

1. tcpmp 协议过滤哪些协议

tcpmp 协议过滤
作为业界标准的捕获工具，tcpmp提供了强大而又灵活的包过滤功回能。作为tcpmp基础答的libpcap包捕获引擎支持标准的包过滤规则，如基于5重包头的过滤（如基于源/目的IP地址/端口和IP协议类型）。

tcpmp/libpcap的包过滤规则也支持更多通用分组表达式，在这些表达式中，包中的任意字节范围都可以使用关系或二进制操作符进行检查。对于字节范围表达，你可以使用以下格式：
proto [ expr : size ]

“proto”可以是熟知的协议之一（如ip，arp，tcp，udp，icmp，ipv6），“expr”表示与指定的协议头开头相关的字节偏移量。有我们熟知的直接偏移量如tcpflags，也有取值常量如tcp-syn，tcp-ack或者tcp-fin。“size”是可选的，表示从字节偏移量开始检查的字节数量。
使用这种格式，你可以像下面这样过滤TCP SYN，ACK或FIN包。

2. 数据包，数据报文，数据帧之间的关系

一、数据帧（Frame)：数据链路层，传递的单位是frame 帧，就是数据链路层的协议数据单元，包括三部分

1、帧头，里面有mac地址，通过这个地址可以在底层的交换机这个层面里顺着网线找到你的计算机。

2、数据部分，ip数据包，意思是使用ip地址定位的一个数据包。

3、帧尾。其中，帧头和帧尾包含一些必要的控制信息，比如同步信息、地址信息、差错控制信息等；数据部分则包含网络层传下来的数据，比如ip数据包。

二、数据包(Packet)：TCP/IP协议通信传输中的数据单位，处于网络层，在局域网中，“包”是包含在“帧”里的。packet是整个tcpip通信协议里网络层的传输单位，也是最小的单位。

有着目的地的ip地址及其来源的ip地址和其他的校验信息。它也被称为头。来自传输层托付给自己待传送的信息。这个信息会被分成多个ip数据包发送出去。所以网络层传递的是ip包，ip包里是待传输消息的一部分。

三、数据报（Datagram)：现在来到传输层了，传输层直接接受来自你的消息，小到给朋友发个晚安，大到给别人传递个文件，只要提供对方的ip地址（还有端口号），其它的都交给传输层帮助实现。

这两种协议都会在发送前把你的消息拆分成多个ip数据包来传输。udp英文就叫 user datagram protocol。所以数据报是啥，就是带地址的消息。

(2)tcp帧头帧尾过滤扩展阅读：

1、据报是不能比数据帧大的，数据帧根据不同网络（无线有线）长度会有所区别，数据包（一块数据）进行为网络层传输时会进行判别，如果长过是网络层要进行分片，成为数据报。

2、假设要传输一个UDP数据包，以太网的MTU为1500字节，一般IP首部为20字节，UDP首部为8字节，数据的净荷（payload）部分预留是1500-20-8=1472字节。如果数据部分大于1472字节，就会出现分片现象。

3、IP分片发生在IP层，不仅源端主机会进行分片，中间的路由器也有可能分片，因为不同的网络的MTU是不一样的，如果传输路径上的某个网络的MTU比源端网络的MTU要小，路由器就可能对IP数据报再次进行分片。而分片数据的重组只会发生在目的端的IP层。

4、TCP：对于TCP数据，在建立连接的三次握手的过程中，连接双方会相互通告MSS（Maximum Segment Size，最大报文段长度），MSS一般是MTU—IP首部（20）—TCP首部（20），每次发送的TCP数据都不会超过双方MSS的最小值，所以就保证了IP数据报不会超过MTU，避免了IP分片。