Wireshark与NodeJS对数据包内容判定不一致的原因排查

针对你遇到的raw-socket模块与Wireshark显示IP头部长度字段不一致的问题，核心原因大概率和字节序处理、模块解析逻辑或OSX内核的raw socket行为有关，具体可能性如下：

• 字节序（端序）不匹配：网络协议（包括IP头部）统一使用大端字节序，但OSX的CPU（x86/ARM64）采用小端字节序。raw-socket模块可能未对IP头的多字节字段（比如总长度字段）做网络字节序到主机字节序的转换，直接将内存中的小端数据返回给你。Wireshark会自动按网络字节序解析字段，所以显示结果符合预期。你看到的0x2800实际是大端值的小端反转（核心逻辑是字节序不匹配导致的字段值错误）。

• raw-socket模块的IP头解析bug：模块可能错误定位了IP头字段的偏移位置，或者在读取16位/32位字段时未正确处理字节序。比如IP头的总长度字段是偏移2开始的16位值，如果模块直接用主机字节序读取该字段，就会得到和网络字节序完全相反的结果。

• OSX内核的raw socket行为差异：OSX上的raw socket实现和Linux存在差异，内核在将数据包传递到用户空间时，可能对IP头做了特殊处理（比如字节序转换错误、额外填充），而Wireshark是从网卡捕获原始网络字节序的数据包，因此两者显示不一致。

• 校验和有效性差异：Wireshark显示的校验和有效，是因为它基于正确的网络字节序数据包计算；而Node.js中拿到的数据包因为字节序错误，校验和自然不匹配，但ICMP部分内容一致，说明ICMP字段多为单字节，无字节序问题。

验证方法 #

可以手动对收到的IP头总长度字段做字节序反转来验证：

// 假设ipHeader是包含IP头的Buffer，总长度字段在偏移2-3的位置
const networkValue = ipHeader.readUInt16BE(2); // 按网络字节序读取
console.log(networkValue); // 应该等于Wireshark显示的60（0x003c）

内容的提问来源于stack exchange，提问作者Dancrumb