Comment portable est la sortie de pcap_compile?

Question

pcap_compile() compile une chaîne dans un programme de filtrage sous la forme d'une struct bpf_program. En théorie, je pourrais enregistrer la forme compilée du programme et le fournir à pcap_setfilter() sur une interface réseau différente ou même sur une machine différente.

Cela fonctionnera-t-il? Le formulaire bpf_program est-il portable sur différentes interfaces? Différents processus? Différentes architectures? Ou est-il plus sûr de compiler l'expression chaque fois que je veux l'utiliser?

Basé sur l'existence de pcap_open_dead() je suppose qu'il est quelque peu portable, mais ce qui est sûr et ce qui ne semble pas être épelé partout dans la documentation.

Answer 1

Non, ce n'est pas portable en général.

Vous pouvez les utiliser sur la même machine.

Sur des machines similaires en toute sécurité. Différentes architectures? Probablement pas. Peut-être si elles ont des types similaires. Systèmes d'exploitation différents? Non, je ne recommande pas l'un de ces.

Si vous voulez vraiment être sûr, compilez simplement l'expression lorsque vous l'utilisez. Cela prend vraiment un temps insignifiant si vous le faites rarement assez. Si vous changez rapidement d'expressions, vous pouvez en garder quelques-unes.