对比
PCAP 与 PCAPNG
PCAP 是兼容性广泛的传统数据包捕获格式；PCAPNG 可扩展，能保留多个接口和更多捕获元数据。
应该选择哪种格式？
兼容旧分析工具可考虑 PCAP；需要保留多个接口、注释或接口级时间戳精度时选择 PCAPNG。转换后检查剩余元数据和时间戳分辨率。
适用于 PCAP
记录和分析网络数据包 · 与广泛兼容的工具交换捕获文件
- 在 tcpdump 等兼容 libpcap 的工具中打开捕获文件
- 优先兼容现有分析工具
适用于 PCAPNG
记录和分析网络数据包 · 保存包含接口信息的抓包文件
- 在 Wireshark 中检查数据包
- 保留时间戳和多个接口的信息
基本信息
| 项目 | PCAP | PCAPNG |
|---|---|---|
| 扩展名 | .pcap, .cap | .pcapng |
| MIME 类型 | application/octet-stream | application/octet-stream |
| 常见用途 | 记录和分析网络数据包 · 与广泛兼容的工具交换捕获文件 | 记录和分析网络数据包 · 保存包含接口信息的抓包文件 |
| 打开方式 | 可用 Wireshark、tcpdump 或其他兼容分析工具打开。有些捕获文件使用 .cap 扩展名，因此不要只凭扩展名判断；请用捕获分析软件确认。 | 通常可用 Wireshark 打开。其他工具无法读取时，请先确认其支持的抓包格式，再决定是否转换。 |
| 导出或转换 | 需要保留多个接口或注释时可考虑 PCAPNG。将 PCAPNG 转为 PCAP 可能提高工具兼容性，但会丢失接口信息、注释或时间戳精度；转换后应检查结果。 | 转换为 pcap 可能提高兼容性，但接口信息、注释或时间戳精度可能无法保留。转换后也应检查分析结果。 |
按用途选择
在 tcpdump 等兼容 libpcap 的工具中打开捕获文件
记录和分析网络数据包 · 与广泛兼容的工具交换捕获文件
PCAP优先兼容现有分析工具
记录和分析网络数据包 · 与广泛兼容的工具交换捕获文件
PCAP在 Wireshark 中检查数据包
记录和分析网络数据包 · 保存包含接口信息的抓包文件
PCAPNG保留时间戳和多个接口的信息
记录和分析网络数据包 · 保存包含接口信息的抓包文件
PCAPNG关键点 1
PCAP 以简单且广泛支持的格式保存数据包、链路层类型和时间戳；PCAPNG 使用可扩展区块记录接口及捕获详情。
进一步了解差异关键点 2
PCAPNG 可表示多个接口及每个接口不同的时间戳分辨率。传统 PCAP 通常使用单一捕获配置和固定的微秒或纳秒精度。
进一步了解差异进一步了解差异
旧工具兼容性最重要时使用 PCAP；需要丰富捕获上下文时使用 PCAPNG。转换后验证数据包、接口映射、注释和时间戳精度。
- PCAP 是经典的 libpcap 捕获格式，很多工具都支持。PCAPNG 是其可扩展后继格式，使用区块记录接口和额外元数据。
- PCAPNG 文件可描述多个捕获接口及接口级时间戳分辨率；常见 PCAP 的捕获上下文较有限。
- 转换可能改变或丢弃元数据并降低时间戳精度。保留源捕获文件，并将两种格式都视为可能含敏感数据。
常见问题
PCAPNG 一定比 PCAP 兼容更多工具吗？
不一定。旧工具通常支持 PCAP，而 PCAPNG 支持情况各异。选择或转换前请检查目标分析工具。