libpcap/tcpdump—2—网络信息（listening on ens33, link-type EN10MB (Ethernet), capture size 262144 bytes）

这条信息在运行tcpdump的时候都会见到，那它到底代表什么，又是怎么产生的。这篇文章就说一下这个事。这条信息共有4个内容，分别是：ens33，EN10MB，Ethernet 和 262144.这是最全的情况，查看tcpdump代码你会发现还有3个内容的情况，那个比这个要简单。忘了说了，我使用的tcpdump是4.9.2，libpcap是1.9.0.下面就把这4个内容分别介绍一下。

ens33

tcpdump中的pcap_findalldevs接口引入，实现在libpcap中。在libpcap中用3种办法确保获取到网卡名。首先是系统函数getifaddrs，这个基本就都成功了。如果不好使，程序会读/sys/class/net，里面每个网卡都有自己的文件夹。如果这个还不好用，那么就读/proc/net/dev。这3种办法应该就能兼容所有linux设备了。关于getifaddrs上网查一下的话会发现有说它bug的文章，内存泄漏，有兴趣可以自己看一下。网上只有一篇文章介绍，不会找错的。

EN10MB 和 Ethernet

这两个是一体的，查看 libpcap 中的pcap.c文件中的 dlt_choices[ ]就会发现。结构体如下所示：

struct dlt_choice {const char *name;const char *description;int  dlt;
};#define DLT_CHOICE(code, description) { #code, description, DLT_ ## code }
#define DLT_CHOICE_SENTINEL { NULL, NULL, 0 }static struct dlt_choice dlt_choices[] = {DLT_CHOICE(NULL, "BSD loopback"),DLT_CHOICE(EN10MB, "Ethernet"),DLT_CHOICE(IEEE802, "Token ring"),DLT_CHOICE(ARCNET, "BSD ARCNET"),DLT_CHOICE(SLIP, "SLIP"),... ...
};

其中Ethernet是根据EN10MB拿到的，所以需要知道EN10MB是如何获取到的，查看tcpdump的main函数会发现。我下面把关键函数都列一下。具体情况不赘述，只说一些我认为有价值的地方。

dlt_name 这个字符串指针就是 EN10MB，是 pcap_datalink_val_to_name(dlt) 的返回值。那么关键就转移到了 dlt 这个整型变量上面。dlt 又是 pcap_datalink(pd) 接口的返回值，关键又转移到了 pd ，这个指向 pcap_t 的指针上，这个真的是关键！

Breakpoint 1, map_arphrd_to_dlt (handle=0x555555a04aa0, sock_fd=3, arptype=1, device=0x555555a05800 "ens33", cooked_ok=1) at ./pcap-linux.c:3129
3129    {
(gdb) bt
#0  map_arphrd_to_dlt (handle=0x555555a04aa0, sock_fd=3, arptype=1, device=0x555555a05800 "ens33", cooked_ok=1) at ./pcap-linux.c:3129
#1  0x000055555560a033 in activate_new (handle=0x555555a04aa0) at ./pcap-linux.c:3691
#2  pcap_activate_linux (handle=0x555555a04aa0) at ./pcap-linux.c:1564
#3  0x000055555560e2ed in pcap_activate (p=0x555555a04aa0) at ./pcap.c:2418
#4  0x0000555555594a5c in open_interface (device=0x555555a04a80 "ens33", ndo=<optimized out>, ebuf=0x7fffffffd170 "") at ./tcpdump.c:1036
#5  0x0000555555592514 in main (argc=<optimized out>, argv=0x7fffffffe398) at ./tcpdump.c:1698

pd 是 pd = open_interface(device, ndo, ebuf) 接口的返回值，上面这个栈信息清晰的展现了 pd 中 linktype 这个关键变量赋值的过程！3帧到2帧那里是 activate_op 这个函数指针，在 pcap_create 的时候赋值为 pcap_activate_linux 接口，可以查看 pcap_create_interface 接口。

activate_new 接口里面调用 iface_get_arptype接口，这个是 linktype 赋值的最关键函数！下面贴出 iface_get_arptype 的实现方式。

static int
iface_get_arptype(int fd, const char *device, char *ebuf)
{struct ifreq   ifr;memset(&ifr, 0, sizeof(ifr));strlcpy(ifr.ifr_name, device, sizeof(ifr.ifr_name));printf("%s %d %s here fd=%d device=%s ebuf=%s\n", __FILE__, __LINE__, __FUNCTION__,fd,device,ebuf);if (ioctl(fd, SIOCGIFHWADDR, &ifr) == -1) {pcap_fmt_errmsg_for_errno(ebuf, PCAP_ERRBUF_SIZE,errno, "SIOCGIFHWADDR");if (errno == ENODEV) {/** No such device.*/return PCAP_ERROR_NO_SUCH_DEVICE;}return PCAP_ERROR;}printf("%s %d %s ifr.ifr_hwaddr.sa_family=%d\n", __FILE__, __LINE__, __FUNCTION__,ifr.ifr_hwaddr.sa_family);return ifr.ifr_hwaddr.sa_family;
}

ioctl 提供了方法，libpcap 用的是这个。查看 ioctls.h 会发现有很多其它功能的宏，详细介绍的博客也有很多。看其他博客的时候偶然告诉了我 ifconfig 就是基于这个做的！ifconfig 是基于 ioctl 做的！ifconfig 是基于 ioctl 做的！惊不惊喜意不意外~

上面这个接口还有另外一个提高B格的地方。那就是拷贝 device 这个网卡名字的时候用的是 strlcpy 这个字符串拷贝的第三版接口，第一版是strcpy，第二版是strncpy。三者的区分可以看看这篇文章我做了6年的嵌入式Linux C 开发，在上一家公司 strcpy 已经被摒弃，但也才刚开始三年左右时间，strcpy 确实容易引起问题，都用 strncpy 替换。但 strlcpy 是我第一次见到！在系统不支持的情况下，libpcap 也给出了宏重定义，可以借鉴，如下所示。

<portability.h>#define strlcpy(x, y, z) \(strncpy((x), (y), (z)), \((z) <= 0 ? 0 : ((x)[(z) - 1] = '\0')), \(void) strlen((y)))

map_arphrd_to_dlt 根据 arptype 做 switch 判断赋值。后面过程就比较简单了，这里不再描述。

在 map_arphrd_to_dlt 上面有一大段注释，如下所示。整个 tcpdump 和 libpcap 工程里面有非常多的注释，堪称典范。我还无法完全理解。

/**  Linux uses the ARP hardware type to identify the type of an*  interface. pcap uses the DLT_xxx constants for this. This*  function takes a pointer to a "pcap_t", and an ARPHRD_xxx*  constant, as arguments, and sets "handle->linktype" to the*  appropriate DLT_XXX constant and sets "handle->offset" to*  the appropriate value (to make "handle->offset" plus link-layer*  header length be a multiple of 4, so that the link-layer payload*  will be aligned on a 4-byte boundary when capturing packets).*  (If the offset isn't set here, it'll be 0; add code as appropriate*  for cases where it shouldn't be 0.)**  If "cooked_ok" is non-zero, we can use DLT_LINUX_SLL and capture*  in cooked mode; otherwise, we can't use cooked mode, so we have*  to pick some type that works in raw mode, or fail.**  Sets the link type to -1 if unable to map the type.*/

262144

这个是包大小的默认值 DEFAULT_SNAPLEN 256KB。可以用 -s 指定，经常用tcpdump解决问题自然会用到这个选项，man手册里面有还算详细的介绍。我另外那篇写抓包的文章好像提到过。这个是链接

到这里关于这一条出现过无数次的信息就算介绍完了。后面的文章会继续深入了解 tcpdump。

下面说一个题外话，年后遇到了一个问题，。。。。。。但这个问题确实勾起了我的兴趣，后面如果有机会让我插手，我会默默排查的。