背景

當(dāng)PCAP原始文件特別巨大的時(shí)候，整個(gè)文件直接載入內(nèi)存是相當(dāng)耗時(shí)的，于是一個(gè)簡單的想法是將大的PCAP切分成若干小PCAP。對于這個(gè)任務(wù)，現(xiàn)有工具splitcap是可以完成的。無論是按照主機(jī)對、還是按照五元組信息切分，splitcap都會(huì)將原始PCAP切分的過于分散?？紤]一個(gè)包括100W個(gè)會(huì)話的、文件大小為6G的原始PCAP，經(jīng)過splitcap切換后可能會(huì)得到100W個(gè)小pcap文件。往文件系統(tǒng)寫這100W個(gè)小文件可能極其耗時(shí)，同時(shí)使用第三方工具（例如flowcontainer）專門去解析這100W個(gè)小文件可能所需的時(shí)間反而遠(yuǎn)遠(yuǎn)大于直接解析6GB的PCAP文件。

在這種背景下，本項(xiàng)目想完成如下幾個(gè)需求：

1. 將大型PCAP切分為給定數(shù)目 $M$ 個(gè)小型PCAP文件。這 $M$ 個(gè)小文件某種指標(biāo)盡量相同。這種指標(biāo)可能是：1. 文件大小; 2. packet數(shù)目; 3. 雙向流數(shù)目 等
2. 來自同一雙向流的packet必須劃分到同一PCAP文件內(nèi)。
3. 跨平臺(tái)，支持 Win/Linux 平臺(tái)

安裝

Windows平臺(tái)

重新編譯

預(yù)編譯

Linux平臺(tái)

重新編譯

預(yù)編譯

使用