WireShark 抓包遇到的奇怪问题

[hxndg]

这两天分析数据网络，分析的是局域网内的北邮人论坛，通过 ifconfig 可以发现 mtu 最大传输单元是 1500 字节，但是在进行 wireshark 抓包的时候遇到了奇怪的现象， 请看，这里包的长度是大于 mtu 的阿，而且 ip 的 don't fragiment 标志位也设置成了 1 了阿，为什么会这个样子？ 此外，所谓的应用层分包， tcp 分包， ip 分包分别对应的是什么

[tftk]

这个图完全看不清楚

[hxndg]

啊啊啊啊，首先表示感谢，我又简单搜索了一下，发现很有可能是 tso 或者说 lso 导致的

[badcode]

@tftk chrome 右键>在新标签页中打开图片

[tftk]

@badcode 多谢
@hxndg 你这个包明明已经被重组了呀

[hxndg]

@tftk 并没有哈，这个包是没有拆成两个 ip 包的，这个包本身大于了 1500 ，它是下面另一个 http 包的失序哈

[hxndg]

@hxndg 只不过他是 seq 的多个合起来的哈

[hxndg]

@tftk 检查 ip 包 don't fragiment 发现并没有分包哈

[pfipdaniel]

这是网卡芯片本身的加速功能（需要驱动支持）， linux 系统一般会默认启用 gso 、 tso 这些特性，所以 wireshark 看到数据包的时候已经是被拼接过的大包了

[hxndg]

@pfipdaniel 谢谢哈，发现书本和实际还是有不少区别的