| 用途 | 跨网段集中采集 |
|---|---|
| 要点 | GRE 封装、MTU 余量、目的地址 |
抓包识别
抓包识别
ip.proto == 47 # GRE
gre.proto.type == 0x88be # ERSPAN 常见类型
# 展开内层原始帧分析封装流量走正常路由，分析端看到的是带外层头的包。
本包目录（400 条）
tcpdump 过滤实战51 条Wireshark 技巧75 条TCP 流分析82 条应用层报文判读71 条丢包与时延定位60 条
抓包工具链61 条
- 抓包点选择原则
- 交换机镜像口（SPAN）要点
- 全链路观测点布局
- 容器内抓包方法
- Kubernetes Pod 抓包路径
- nsenter 进入网络命名空间
- 远端落盘再回传策略
- 非 root 抓包权限配置
- 抓包容量估算与存储规划
- dumpcap 基础用法
- tshark 常用统计一网打尽
- tshark 字段导出做表
- editcap 裁剪时间窗
- 大文件分段分析策略
- 命令行流水线预处理大文件
- 抓包文件脱敏处理
- 本地复现实验环境搭建
- 抓包任务收尾检查单
- ERSPAN 远程镜像
- 分光器与 TAP 的适用场景
- 节点侧抓包的覆盖面
- ss 与抓包联动定位进程
- lsof 反查端口与文件描述符
- any 接口抓包的限制
- Windows 抓包环境要点
- Windows 回环流量抓取
- Wireshark 远程接口（sshdump）
- rpcapd 远程采集注意项
- 采集机对时实践
- dumpcap 自动停止条件
- dumpcap 多接口采集
- tshark 会话统计判读
- 协议分层统计（io,phs）
- tshark I/O breakdown 统计
- tshark 两遍解析（-2）
- tshark 强制解码指定端口
- editcap 切分大文件
- 按包号挑选导出
- editcap 格式转换
- mergecap 合并多文件
- capinfos 文件完备性检查
- pcapng 块结构速览
- 过滤器书签与复用
- Wireshark 配置档管理
- 报文重放工具用法
- scapy 读包做定制统计
- 导出对象核对传输内容
- Expert Information 面板用法
- 自定义配色规则
- 抓包操作的合规与授权
- 抓包文件交接规范
- 抓包文件权限与保管
- 抓包文件命名规范
- 工单附件的精简策略
- 回环抓包自测练习
- 命令行手册速查索引
- 管道直通 Wireshark 分析
- 文本构造包文件（text2pcap）
- 重复报文的去重处理
- 跨文件时间偏移校正
- 工具链版本核对
ERSPAN 远程镜像
跨三层把镜像流量封装为 GRE 送到远端分析平台：适合集中采集；注意 MTU（封装后变大）、采样率与源配置。
易错点
- 内层大帧封装后可能超 MTU 被丢，按最小路径 MTU 预留
- 采样镜像看不到全量，用量类结论要先确认采样配置
数据来源与参考
- RFC 1701（GRE）
- 厂商 ERSPAN 文档