Wireshark zeigt mir Pakete mit weniger als 64Bytes

[sirius]

Zitat von Valle:

Wer sagt, dass nicht die Netzwerkkarte schon das Padding abschneidet?

Das wäre auch eine Möglichkeit. Allerdings müsste dazu die Netzwerkkarte min. das Layer-3-Protokoll (bspw. "IP") analysieren um das herauszufinden.
Ich will halt nur sagen, dass alle Netzwerkadpater sich nicht um IP o.ä. kümmern. Das ist ja der Grund für die Trennung der einzelnen Schichten bei OSI bzw. TCP/IP-Ref. Die Netzwerkkarte interessiert sich nur für Layer 1. ein zugehöriger Netzwerkadapter für Layer 2. Und genau hier sind die Frames, die nicht kleiner sein dürfen als 64 Bytes (bzw. 46 Byte Inhalt + Header + Chksum). Bei EthernetII-Frames gibt es da auch nirgendwo eine Längenangabe bzw. eine Möglichkeit zu unterscheiden, was Daten- und was Padding Byte sind. Das kriegt man erst raus, wenn man das darunterliegende Protokoll analysiert. Das geht natürlich. Wenn der Typ ARP ist, ist die Länge klar definiert (konstant) und der Typ "ARP" steht ja im Layer-2-Header. Aber auch die TCP-Pakete (Handshakes) sind kleiner als 64 Byte im Frame. Dazu müsste man aber das IP-Protokoll analysieren. Es ist gut möglich, dass WinPCap dies zumindest bei ihm bekannten Protokollen macht. Aber warum? Dann sollte das wenigstens dokumentiert sein. Deswegen glaube ich nicht, dass die das machen.
Ideen, warum das so sein könnte, habe ich auch viele. Ich dachte nur, es weis hier jemand ganz sicher.
[/quote]

Zitat:

@sirius: Weiter im Text sind auch noch andere minimal-Längen von Packeten definiert. Darum geht es mir.

Ich suche nochmal, jetzt mache ich erstmal Feierabend.


Danke erstmal für eure Anregungen.