network-protocols - tshark で TCP トラフィックのみをキャプチャする方法

Question

次のコマンドがあります。

tshark -n -r ./file.dump -Y "(tcp.flags.syn==1 or tcp.flags.ack==1 and tcp.flags.fin==0)"

何らかの理由で ICMP メッセージが出力されます。

tshark に tcp パケットのみを出力するように指示するにはどうすればよいですか?

私が考えているのは grep だけgrep "TCP"です。しかし、それは良い解決策ではありません。

Answer 1

何らかの理由で ICMP メッセージを出力します。

Wireshark/TShark は、ICMP メッセージのペイロードを分析します。たまたま TCP セグメントの一部が含まれている場合は、それが分析されるため、パケットにはこれらのフラグが含まれます)。

tshark に tcp パケットのみを出力するように指示するにはどうすればよいですか?

tshark -n -r ./file.dump -Y "not icmp and (tcp.flags.syn==1 or tcp.flags.ack==1 and tcp.flags.fin==0)"