假设我们有一个封装在 IP 数据包中的 TCP 或 UDP 消息。假设 UDP/TCP 消息的长度对于 IP 来说太大了。

如果我理解得很好，最初的 IP 有效负载应该分成几个较小的数据包。因此，第一个 IP 数据包具有 TCP/UDP 标头，并且可能是 UDP/TCP 有效负载的开头。第二个具有 UDP/TCP 有效负载的下一部分，依此类推，直到发送整个 UDP/TCP 消息。端口信息包含在 UDP/TCP 标头中。

因此我的问题是：这是否意味着我们无法知道碎片消息的端口（目标和源）？

我认为是的，我们不知道港口。但这是正常的，因为我们只在 UDP/TCP 层需要它，一旦我们从几个 IP 数据包重建它就完成了。但是我想通过端口检查通过网络上某个点的数据包数量。这样做是为了捕获第一个数据包、识别端口和 IP ID 字段并检查每个分段数据包的每个 IP ID 字段的唯一方法吗？