使用Microsoft-Windows-NDIS-PacketCapture ETW替代NDIS LWF/WFP做包检测的弊端？

针对你的异步IPv4/IPv6深度包检测需求，使用该ETW提供程序替代NDIS LWF或WFP驱动确实存在不少弊端，具体如下：

• 捕获完整性与可靠性不足：ETW包捕获是被动监听模式，依赖内核将数据包事件传递到用户态，高负载场景下容易因ETW缓冲区溢出丢包；而NDIS LWF/WFP驱动运行在内核态，能直接拦截所有流经的数据包，捕获完整性更有保障。
• 实时性表现较差：ETW事件从内核态到用户态存在固有延迟，即使是异步处理，若你的深度检测对响应时效要求极高（如毫秒级），ETW的延迟可能无法满足；内核态驱动则可在数据包路径内直接处理，延迟更低。
• 无流量干预能力：ETW仅能被动捕获数据包，完全不具备修改、阻断、重定向流量的能力。如果后续需求扩展需要对流量进行干预，ETW方案无法支撑；而NDIS LWF和WFP天生具备这类内核态流量操控能力，扩展性更强。
• 过滤灵活性有限：ETW的过滤规则仅支持简单条件（如网卡、协议类型），无法实现基于五元组、应用程序、数据包内容等复杂维度的细粒度过滤，会导致你需要在用户态处理大量无关数据包，降低检测效率；WFP则提供了丰富的过滤条件，能精准筛选目标流量。
• 系统兼容性有局限：该ETW提供程序仅支持Windows 8/Server 2012及以上版本，若需要兼容Windows 7等旧系统，ETW方案直接失效；而NDIS LWF和WFP驱动的兼容性覆盖范围更广（可支持Windows 7及更早部分版本）。
• 用户态解析开销更高：ETW传递的数据包需要在用户态完成完整解析，频繁的内核态/用户态切换加上用户态解析逻辑，会带来更高的CPU占用；内核态驱动则可在内核中完成初步解析，减少不必要的资源消耗。

内容的提问来源于stack exchange，提问作者OneAndOnly