saga.constantine — Sun, 16 Apr 2006 09:13:00 GMT

最�q�自己因为实际需�?用winpcap开发一个程序里面有需要�{发包.自己��写了一�?发现转发时�g>500ms.也确实把自己吓到�?便把转发的那�D�代码开始精�?大致如下

while((j=pcap_next_ex(slecadopt,&pkt_header,(const u_char**)&pkt_data))>=0)
{
     if(j==0)
     {
     continue;
     }
     if(*(unsigned short *)(pkt_data+12)==htons(ETH_IP)&&(!(memcmp(pkt_data+6,myip->mac,6)==0))&&*(unsigned long *)(pkt_data+30)!=myip->ip&&(!(memcmp(pkt_data,bcast,6)==0)))
     {
     for(z=Pipmachead;z!=NULL;z=z->next)
     {
         if(*(unsigned long *)(pkt_data+30)==z->ip)
             {
                       memcpy(cmac->mac,z->mac,6);
                        memcpy(cmac->mac+6,myip->mac,6);
                        memcpy(sendbuf,pkt_data,pkt_header->caplen);
                        memcpy(sendbuf,cmac,12);
                       pcap_sendpacket(slecadopt,sendbuf,pkt_header->caplen);
         }
         continue;
     }
     }
}

�q�程很简�?pcap_next_ex()收包,在做判断处理,然后用pcap_sendpacket()发包.怎么想都不会有那么大的时�?很不解就搜烦了下关于pcap_sendpacket()发包效能的网��?其中有一�?a >http://community.csdn.net/Expert/TopicView3.asp?id=4153633来里面有��

我用winpcap做个一个初步的试验�Q�我得机器是�? 2�?/span>6�Q�内�?12�Q�我一个线�E�接包，一个线�E�收包，用动态连表做�~�存�Q�一�U�钟转发1�Q?个包没有多大问题�Q�要是再多了�Q�就会又丢包�Q��{发上千万包要丢几百个�?/span>

�q�有��

winpcap的sendpacket��慢，而且延迟很大�?br />
我试囑֮��C��个bridge�Q�即一个端口进入的包不�l�修改从一个端口出�Q�反之亦然。结果ping的结果显�C��g�q��ؓ数百毫秒�U�别�Q�个别时候甚臛_��?�U�。运行其它应用更是不可忍受�?br />
我想使用sendQuene�Q�结果sendQuene的具体用法只见过预先准备好所有的包然后整体发送的�Q�没见过随着包来随着发送的例子。或许对于我的bridge�Q�winpcap是一个错误的选择�Q�又或者大家有什么新鲜的思�\�Q�愿意听大家说说�?/span>

使我也开始怀疑pcap_sendpacket()�?��N��真实pcap_sendpacket()效率�?但是我还是不�怿�.堂堂winpcap怎么可能怎么�?使我发现破熾的��贴子里最后一的�h的说�?

我也写了个类似的�E�序�Q��g时稳定在20ms左右�Q�带宽可以达�?0M
我发��C��个有��的事情�Q�即我在�q�行brigde的服务器上，�q�行一个fluke的抓包工��P��居然发现�q�行后，通过bridge后的时�g居然只有1ms左右了，停止抓包工具后，延时又回�?0ms左右�Q�试了多�ơ情况都一�?br />
打开�|�卡的句柄是按下面的参数执行�?br />pcap_open(d->name, // name of the device
65536, // portion of the packet to capture.
PCAP_OPENFLAG_PROMISCUOUS, // promiscuous mode
1, // read timeout
NULL, // remote authentication
errbuf // error buffer
);
�Ҏ��据报的捕��h��用pcap_loop函数�Q�我试过��pcap_open的read timeout参数讄��?/span>-1,卌��取立卌��回，但这样对�pȝ��资源占用太大�Q�cpu利用率增加到100�Q�，此时bridge的�g时就很不�E�_��了，�?ms�?s都有�?/span>

他在里面�Ҏ��提到了pcap_open()的read timeout参数,我回惌��v我的讄��1000ms,也就是一�U?嫌疑很大.(�?我用的是pcap_open_live())

pcap_open_live(d->name, 1000, 1, 1000, error)

然后��去查Winpcap的官方资�?a >http://www.winpcap.org/docs/docs31/html/group__wpcapfunc.html
里面说的很清�?

to_ms specifies the read timeout in milliseconds. The read timeout is used to arrange that the read not necessarily return immediately when a packet is seen, but that it wait for some amount of time to allow more packets to arrive and to read multiple packets from the OS kernel in one operation.

     当已�l�发现包之后�q�会�{�多一些的包一赯��?�{�待旉��是read timeout.明白�?我把read timeout设�ؓ1以后时�g降到�?lt;10ms.

     其中�q�需要提醒的是用Ethereal�{�一些抓包工��L��到收包到转发时�g很大时就以�ؓ是pcap_next_ex()和pcap_sendpacket()函数之间的处理造成了时�?�q�里�Ҏ��l�我们��生一个假�?以�ؓ�|�卡收到包的时刻��是转发�E�序��p��开始处�?实际上pcap_next_ex()�q�在�{�待更多的包一赯��?
     所�?font style="BACKGROUND-COLOR: #ffffff" color="#ff1493">事发的原因离事发现场比较�q?/font>.在pcap_open()�?�E�序��就是怎么千丝万缕的关联着.
     大家一定要多怀疑自�?别去怪罪工具.winpcap很无辜的.��d��!!肚子饿了��d��?img height="20" src="http://m.shnenglu.com/Emoticons/QQ/32.gif" width="20" border="0" />!!

-----saga.constantine

saga.constantine 2006-04-16 17:13 发表评论

[原创]用winpcap获取本地mac的一�D�代�?

saga.constantine — Thu, 13 Apr 2006 07:02:00 GMT

最�q�用winpcap�~�程发现winpcap不能直接的提取本地网卡的mac地址.
于是通过向自己发arp��h��来获得本地的mac.自己写了�D�代�?如下:

int getmmac()
{
    unsigned char    sendbuf[ 42 ];
     int     i = 7 ,k;
    ETHDR  eth;
    ARPHDR arp;
     struct pcap_pkthdr *   pkt_header;
    u_char * pkt_data;

     for (k = 0 ;k < 6 ;k ++ )
    {
        eth.eh_dst[k] = 0xff ;
        eth.eh_src[k] = 0x0f ;
        arp.arp_sha[k] = 0x0f ;
        arp.arp_tha[k] = 0x00 ;
    }
    eth.eh_type = htons(ETH_ARP);
    arp.arp_hdr = htons(ARP_HARDWARE);
    arp.arp_pro = htons(ETH_IP);
    arp.arp_hln = 6 ;
    arp.arp_pln = 4 ;
    arp.arp_opt = htons(ARP_REQUEST);
    arp.arp_tpa = myip -> ip;
    arp.arp_spa = inet_addr( " 127.0.0.2 " );

    memset(sendbuf, 0 , sizeof (sendbuf));
    memcpy(sendbuf, & eth, sizeof (eth));
    memcpy(sendbuf + sizeof (eth), & arp, sizeof (arp));

     if (pcap_sendpacket(slecadopt,sendbuf, 42 ) == 0 )
    {
        printf( " PacketSend succeed\n\n " );
    }
     else
    {
        printf( " PacketSendPacket in getmine Error: %d\n " ,GetLastError());
         return 0 ;
    }

     while ((k = pcap_next_ex(slecadopt, & pkt_header,( const u_char ** ) & pkt_data)) >= 0 )
    {
         if ( * (unsigned short * )(pkt_data + 12 ) == htons(ETH_ARP) &&* (unsigned short * )(pkt_data + 20 ) == htons(ARP_REPLY) &&* (unsigned long * )(pkt_data + 38 ) == inet_addr( " 127.0.0.2 " ))
        {

             for (i = 0 ;i < 6 ;i ++ )
            {
                myip -> mac[i] =* (unsigned char * )(pkt_data + 22 + i);
            }
                 break ;
        }
    }
     if (i == 6 )
    {
         return 1 ;
    }
     else
    {
         return 0 ;
    }
}

写的是一个函�?其中arp��h��的发送方地址填的�?27.0.0.2.�q�个都没什么关�p?
当然提取本地的mac�q�可以用api直接获取.但是不知道用pcap�q�有别的好方�?高手指教.谢谢

saga.constantine 2006-04-13 15:02 发表评论

国产日韩综合,亚洲盗摄视频,91久久久久

[原创]用winpcap获取本地mac的一�D�代�?