【正文】 于被OpenBSD中pf程序做過標記的包(nt: pf, packet filter, 可理解為OpenBSD中的防火墻程序)) ip, ip6, arp, rarp, atalk, aarp, deet, iso, stp, ipx, netbeui 與以下表達元含義一致: ether proto p p是以上協(xié)議中的一個. lat, moprc, mopdl 與以下表達元含義一致: ether proto p p是以上協(xié)議中的一個. 必須要注意的是tcpdump目前還不能分析這些協(xié)議. vlan [vlan_id] VLAN 數(shù)據(jù)包, 則與此對應的條件表達式為真. (nt: VLAN, 虛擬網(wǎng)絡(luò)協(xié)議, 此協(xié)議用于不同網(wǎng)絡(luò)的之間的互聯(lián)).如果[vlan_id] 被指定, 則只有數(shù)據(jù)包含有指定的虛擬網(wǎng)絡(luò)id(vlan_id), 則與此對應的條件表達式為真. 要注意的是, 對于VLAN數(shù)據(jù)包, 在表達式中遇到的第一個vlan關(guān)鍵字會改變表達式中接下來關(guān)鍵字所對應數(shù)據(jù)包中數(shù)據(jù)的開始位置(即解碼偏移). 在VLAN網(wǎng)絡(luò)體系中過濾數(shù)據(jù)包時, vlan [vlan_id]表達式可以被多次使用. 關(guān)鍵字vlan每出現(xiàn)一次都會增加4字節(jié)過濾偏移(nt: 過濾偏移, 可理解為上面的解碼偏移). 例如: vlan 100 amp。amp。 vlan 200 表示: 過濾封裝在VLAN100中的VLAN200網(wǎng)絡(luò)上的數(shù)據(jù)包 再例如: vlan amp。amp。 vlan 300 amp。amp。 ip 表示: 過濾封裝在VLAN300 網(wǎng)絡(luò)中的IPv4數(shù)據(jù)包, 而VLAN300網(wǎng)絡(luò)又被更外層的VLAN封裝 mpls [label_num] 如果數(shù)據(jù)包為MPLS數(shù)據(jù)包, 則與此對應的條件表達式為真. (nt: MPLS, MultiProtocol Label Switch, 多協(xié)議標簽交換, 一種在開放的通信網(wǎng)上利用標簽引導數(shù)據(jù)傳輸?shù)募夹g(shù)). 如果[label_num] 被指定, 則只有數(shù)據(jù)包含有指定的標簽id(label_num), , 對于內(nèi)含MPLS信息的IP數(shù)據(jù)包(即MPLS數(shù)據(jù)包), 在表達式中遇到的第一個MPLS關(guān)鍵字會改變表達式中接下來關(guān)鍵字所對應數(shù)據(jù)包中數(shù)據(jù)的開始位置(即解碼偏移). 在MPLS網(wǎng)絡(luò)體系中過濾數(shù)據(jù)包時, mpls [label_num]表達式可以被多次使用. 關(guān)鍵字mpls每出現(xiàn)一次都會增加 4字節(jié)過濾偏移(nt: 過濾偏移, 可理解為上面的解碼偏移). 例如: mpls 100000 amp。amp。 mpls 1024 表示: 過濾外層標簽為100000 而層標簽為1024的數(shù)據(jù)包 再如: mpls amp。amp。 mpls 1024 amp。amp。 host 表示: , 該數(shù)據(jù)包的內(nèi)層標簽為1024, 且擁有一個外層標簽. pppoed 如果數(shù)據(jù)包為PPPoverEthernet的服務器探尋數(shù)據(jù)包(nt: Discovery packet, 其ethernet type 為0x8863),則與此對應的條件表達式為真. (nt: PPPoverEthernet, 點對點以太網(wǎng)承載協(xié)議, 其點對點的連接建立分為Discovery階段(地址發(fā)現(xiàn)) 和PPPoE 會話建立階段 , discovery 數(shù)據(jù)包就是第一階段發(fā)出來的包. ethernet type 是以太幀里的一個字段，用來指明應用于幀數(shù)據(jù)字段的協(xié)議) pppoes 如果數(shù)據(jù)包為PPPoverEthernet會話數(shù)據(jù)包(nt: ethernet type 為0x8864, PPPoverEthernet在上文已有說明, 可搜索 關(guān)鍵字39。PPPoverEthernet39。找到其描述), 則與此對應的條件表達式為真. 要注意的是, 對于PPPoverEthernet會話數(shù)據(jù)包, 在表達式中遇到的第一個pppoes關(guān)鍵字會改變表達式中接下來關(guān)鍵字所對應數(shù)據(jù)包中數(shù)據(jù)的 開始位置(即解碼偏移). 例如: pppoes amp。amp。 ip 表示: 過濾嵌入在PPPoE數(shù)據(jù)包中的ipv4數(shù)據(jù)包 tcp, udp, icmp 與以下表達元含義一致: ip proto p or ip6 proto p 其中p 是以上協(xié)議之一(含義分別為: 如果數(shù)據(jù)包為ipv4或ipv6數(shù)據(jù)包并且其協(xié)議類型為 tcp,udp, 或icmp則與此對 應的條件表達式為真) iso proto protocol 如果數(shù)據(jù)包的協(xié)議類型為isoosi協(xié)議棧中protocol協(xié)議, 則與此對應的條件表達式為真.(nt: [初解]isoosi 網(wǎng)絡(luò)模型中每 層的具體協(xié)議與tcp/ip相應層采用的協(xié)議不同. isoosi各層中的具體協(xié)議另需補充 ) protocol 可以是一個數(shù)字編號, 或以下名字中之一: clnp, esis, or isis. (nt: clnp, Connectionless Network Protocol, 這是OSI網(wǎng)絡(luò)模型中網(wǎng)絡(luò)層協(xié)議 , esis, isis 未知, 需補充) clnp, esis, isis 是以下表達的縮寫 iso proto p 其中p 是以上協(xié)議之一 l1, l2, iih, lsp, snp, csnp, psnp 為ISIS PDU 類型 的縮寫. (nt: ISIS PDU, Intermediate system to intermediate system Protocol Data Unit, 中間系統(tǒng)到 中間系統(tǒng)的協(xié)議數(shù)據(jù)單元. OSI(Open Systems Interconnection)網(wǎng)絡(luò)由終端系統(tǒng), 中間系統(tǒng)構(gòu)成. 終端系統(tǒng)指路由器, 而終端系統(tǒng)指用戶設(shè)備. 路由器形成的本地組稱之為39。區(qū)域39。（Area）和多個區(qū)域組成一個39。域39。（Domain）. ISIS 提供域內(nèi)或區(qū)域內(nèi)的路由. l1, l2, iih, lsp, snp, csnp, psnp 表示PDU的類型, 具體含義另需補充) vpi n 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 并且其虛擬路徑標識為n, 則與此對應的條件表達式為真. (nt: ATM, Asychronous Transfer Mode, 實際上可理解為由ITUT(國際電信聯(lián)盟電信標準化部門)提出的一個與 TCP/IP中IP層功能等同的一系列協(xié)議, 具體協(xié)議層次另需補充) vci n 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 并且其虛擬通道標識為n, 則與此對應的條件表達式為真. (nt: ATM, 在上文已有描述) lane 如果數(shù)據(jù)包為ATM LANE 數(shù)據(jù)包, 則與此對應的條件表達式為真. 要注意的是, 如果是模擬以太網(wǎng)的LANE數(shù)據(jù)包或者 LANE邏輯單元控制包, 表達式中第一個lane關(guān)鍵字會改變表達式中隨后條件的測試. 如果沒有 指定lane關(guān)鍵字, 條件測試將按照數(shù)據(jù)包中內(nèi)含LLC(邏輯鏈路層)的ATM包來進行. llc 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包,　并且內(nèi)含LLC則與此對應的條件表達式為真 oamf4s 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包 并且是Segment OAM F4 信元(VPI=0 并且 VCI=3), 則與此對應的條件表達式為真. (nt: OAM, Operation Administration and Maintenance, 操作管理和維護,可理解為:ATM網(wǎng)絡(luò)中用于網(wǎng)絡(luò) 管理所產(chǎn)生的ATM信元的分類方式. ATM網(wǎng)絡(luò)中傳輸單位為信元, 要傳輸?shù)臄?shù)據(jù)終究會被分割成固定長度(53字節(jié))的信元, (初理解: 一條物理線路可被復用, 形成虛擬路徑(virtual path). 而一條虛擬路徑再次被復用, 形成虛擬信道(virtual channel)). 通信雙方的編址方式為:虛擬路徑編號(VPI)/虛擬信道編號(VCI)). OAM F4 flow 信元又可分為segment 類和endtoend 類, 其區(qū)別未知, 需補充.) oamf4e 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包 并且是 endtoend OAM F4 信元(VPI=0 并且 VCI=4), 則與此對應的條件表達式為真. (nt: OAM 與 endtoend OAM F4 在上文已有描述, 可搜索39。oamf4s39。來定位) oamf4 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包 并且是 endtoend 或 segment OAM F4 信元(VPI=0 并且 VCI=3 或者 VCI=4), 則與此對應的條件表達式為真. (nt: OAM 與 endtoend OAM F4 在上文已有描述, 可搜索39。oamf4s39。來定位) oam 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包 并且是 endtoend 或 segment OAM F4 信元(VPI=0 并且 VCI=3 或者 VCI=4), 則與此對應的條件表達式為真. (nt: 此選項與oamf4重復, 需確認) metac 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包 并且是來自39。元信令線路39。(nt: VPI=0 并且 VCI=1, 39。元信令線路39。, meta signaling circuit, 具體含義未知, 需補充), 則與此對應的條件表達式為真. bcc 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包 并且是來自39。廣播信令線路39。(nt: VPI=0 并且 VCI=2, 39。廣播信令線路39。, broadcast signaling circuit, 具體含義未知, 需補充), 則與此對應的條件表達式為真. sc 如果數(shù)據(jù)包為ATM數(shù)據(jù)包, 則與此對應的條件表達式為真. 對于Solaris 操作系統(tǒng)上的SunATM設(shè)備 , 如果數(shù)據(jù)包為ATM數(shù)據(jù)包 并且是來自39。信令線路39。(nt: VPI=0 并且 VCI=5, 39。信令線路39。, signaling circuit, 具體含義未知, 需補充), 則與此對應的條件表達式為真. ilmic