FLARE-Fakenet-NG 数据包封装格式转换技术解析

背景介绍

FLARE-Fakenet-NG 是一款用于模拟网络流量的工具，它能够生成模拟的网络数据包用于安全分析和测试。在实际使用过程中，部分用户发现该工具生成的 pcap 文件采用了 RAW IP 封装格式，而某些专用解析工具无法正确处理这种格式，需要转换为更通用的以太网帧格式。

问题分析

FLARE-Fakenet-NG 默认生成的 pcap 文件具有以下特点：

1. 封装类型为 Raw IP (7)
2. 协议栈显示为 raw:ip:tcp:tls 等形式
3. 缺少以太网帧头信息

这种格式虽然能被 Wireshark 等通用工具解析，但某些专用解析软件需要标准的以太网帧格式：

1. 封装类型为 Ethernet (1)
2. 协议栈显示为 eth:ethertype:ip:tcp:tls
3. 包含完整的以太网帧头

解决方案

通过分析源代码发现，FLARE-Fakenet-NG 使用 dpkt.pcap.Writer 创建 pcap 文件时指定了 linktype=dpkt.pcap.DLT_RAW 参数。虽然可以修改为 DLT_EN10MB，但这样生成的以太网帧缺少正确的协议类型标识。

更可靠的解决方案是使用 Scapy 库进行后期处理，添加完整的以太网帧头：

from scapy.utils import rdpcap, wrpcap
from scapy.layers.l2 import Ether

def convert_pcap(raw_pcap_path, output_pcap_path):
    # 读取原始pcap文件
    packets = rdpcap(raw_pcap_path)
    
    # 创建以太网帧头
    eth_header = Ether(src="00:11:22:33:44:55", 
                      dst="aa:bb:cc:dd:ee:ff", 
                      type=0x0800)  # IPv4类型
    
    # 转换每个数据包
    converted = [eth_header/pkt.getlayer(0) for pkt in packets]
    
    # 写入新文件，指定链路类型为以太网(1)
    wrpcap(output_pcap_path, converted, linktype=1)

技术细节

1. Ethernet 帧构造：

   • src/dst MAC地址可以自定义，不影响协议解析
   • type=0x0800 标识上层协议为IPv4

2. 链路类型选择：

   • linktype=1 对应 DLT_EN10MB，表示标准以太网帧

3. 数据包重组：

   • 保留原始IP层及以上内容(pkt.getlayer(0))
   • 添加新的以太网帧头

应用场景

这种转换技术特别适用于：

1. 需要与特定解析工具集成的场景
2. 网络流量重放测试
3. 教学演示中展示完整网络协议栈
4. 安全设备测试验证

总结

通过理解FLARE-Fakenet-NG的数据包生成机制，我们可以灵活地调整输出格式以满足不同工具的需求。使用Scapy进行后期处理是一种可靠且非侵入式的解决方案，既保留了原始工具的功能，又扩展了其兼容性。这种方法也展示了网络安全工具链中数据格式转换的通用思路。