请问wireshark的Follow Tcp stream功能原理是？那个stream index怎么计算出来的？

[timke212004]

如题。
我个人的考虑是，follow tcp stream是依靠tcp数据包的32位序号得出来stream index，然后依据这个进行follow，但是具体怎么来的，却想不通，数据进行转换，可是还是不知所以然，求高手指点。

[qintel]

没那么复杂，可能是根据src.ip src.port dst.ip dst.port，生成一个索引号，累加.

[qintel]

the stream index is an internal Wireshark mapping to: [IP address A, TCP port A, IP address B, TCP port B]

All the packets for the same tcp.stream value should have the same values for these fields (though the src/dest will be switched for A->B and B->A packets)

see the Statistics/Conversations/TCP tab in Wireshark to show a summary of these streams

http://stackoverflow.com/questions/6076897/follow-tcp-stream-where-does-field-stream-index-come-from

Statistics/Conversations/TCP
Statistics/Conversations/endpoints/tcp
可以看到这些索引号对应的数据流

[qintel]

#2楼解释更合理，就是对ip A port A和ip B port B的对应，加上src/dst的转换。

[timke212004]

#2楼的解释很好，“对ip A port A和ip B port B的对应，加上src/dst的转换”，部分正确。对于udp来说没有问题，但是对于tcp而言，还要参考tcp报文的序号。再次感谢二位！

[smiletolife2]

#2楼的解释很好

[风一样的逗比]

请问楼主现在知道什么原理了吗？我最近也在研究这个，有点想不明白

[ruanben]

2#，Statistics/Conversations/TCP Statistics/Conversations/endpoints/tcp 可以看到这些索引号对应的数据流 这些 是什么意思？？？怎么看？？