entendendo o cabeçalho tcp

Question

Os primeiros 16 bits em um cabeçalho tcp, (rfc793), são para a porta de origem, certo? Os próximos 16 são para o porto de destino. Quando executo tcpdump -xx , posso reconhecer endereços MAC de caixas no meu sistema. Isso significa que as "portas" são endereços MAC?

    

Answer 1

Não, eles não são.

Independentemente do seu nome, o tcpdump captura os pacotes no nível mais baixo possível - não se limita apenas ao TCP.

Quando você usa -xx , tcpdump produz o cabeçalho link layer de todos os pacotes, então os primeiros 4 bytes da saída não são TCP - eles são parte do frame Ethernet.

Mesmo com -x , o tcpdump imprimiria o cabeçalho IP antes do TCP / UDP.

Se você quiser ver a estrutura de pacotes, use o Wireshark - ele exibirá cada pacote como uma árvore e destacará os bytes específicos para cada valor.