| 用途 | 理解 pcapng 的可扩展结构 |
|---|---|
| 要点 | 接口块/包块/元数据块 |
观察
观察
Wireshark: 统计 → 捕获文件属性
可见接口列表、时间精度、操作系统等元数据
# 解析工具报块错误时多为写入中断产物老分析工具只认 pcap 时，按需用 editcap 转换。
pcapng 块结构速览
pcapng 由块构成（接口描述块、增强包块、注释块等）：块信息支撑多接口、注释与精确时间戳；解析问题可从块层排查。
易错点
- 写入中断的 pcapng 可能部分可读，别急于删除源文件
- 多接口文件的包序不保证全局时间有序，按需排序
数据来源与参考
- pcapng 规范（IETF draft）