как классифицировать tcp-сессию?

[Loki]

сабж.
К примеру на pcap, что-то вроде netflow, только атм просто траф считается, а мне нужно имено собирать сесии в треки.

[RXL]

Loki, опиши цель детальнее. Как я понял, тебе нужно сетевой трафик считать.

[Loki]

Loki, опиши цель детальнее. Как я понял, тебе нужно сетевой трафик считать.

нет, считать просто, в pcap это ps_recv, мне нужно именно "собирать" пакеты в файлы по сессиям.

[.]

хм. а воспользоваться тем же pcap? под винду тоже есть)

[Loki]

хм. а воспользоваться тем же pcap? под винду тоже есть)

ну при чум тут pcap? я его и так пользую, вопрос в том как классифицировать кучу пакетов, а не как их снифить!

[McZim]

Loki, стек TCP/IP знаком?

[.]

Loki, то описание задачи, которое ты привёл, мягко скажем, не ясное. Попытаюсь описать за тебя твою задачу для окружающих. Пожалуйста, откорректируй меня, если я где ошибся.

Есть файл/поток pcap. необходимо разобрать этот поток по сессиям (tcp) и понять, кто что делал за дэльту тэ, к которому относится данный поток.
мысли о том, что можно получить из этих данных: 1) статистика время кто/когда/на какой порт/сколько байт 2) если кто-то лезет на какой-то странный порт - получить данные, которые пересылаются через него.
Последнее может потребоваться для того, чтобы проснифать пропроитарный протокол и понять логику работы программы

ЗЫ: если последнее - не проще написать виртуальный сетевой девайс man-in-middle?! если для локального девелопмента, то это будет намного проще! особенно учтя, что примеров open source кода подобных девайсов сотни!!! если не сказать больше

[npak]

потоки TCP распределяются по номерам портов и IP адресам. Каждый поток однозначно определяется двумя парами {адрес узла, порт}

При сборке потоков нужно учитывать, что TCP поддерживает повторную пересылку сегментов.

[McZim]

Loki, тебе будет полезно для решения твоей задачи: http://www.eventhelix.com/Realtimemantra/Networking/

[Loki]

 можно получить вывод из пкап в виде структуры?

не проще написать виртуальный сетевой девайс man-in-middle

есть примеры опенсоурс? желательно там где заголовки отдаются как объекты структуры.

[npak]

можно получить вывод из пкап в виде структуры?

По-моему я понял, в чем вопрос - вы спрашиваете, может ли PCAP дать информацию, необходимую для идентификации сессии TCP? Ответ - нет. PCAP дает сырой пакет со всеми заголовками. Для того, чтобы добраться до TCP, пакет нужно парсить. В этом нет ничего сложного

пример есть http://www.tcpdump.org/pcap.htm

[.]

Loki, VirtualBox

[McZim]

Loki, ты про сиквенсы почитал?