pcapng

pcapng (PCAP Next Generation, im IETF-Draft „PCAP Now Generic") ist der blockbasierte Nachfolger von pcap und das Standardausgabeformat von Wireshark, dumpcap und tshark. Eine Datei ist eine Folge typisierter Blöcke: ein Section Header Block, ein Interface Description Block pro Capture-Interface, Enhanced oder Simple Packet Blocks für die Pakete sowie optionale Blöcke für Namensauflösung, Interface-Statistiken, Entschlüsselungsgeheimnisse und benutzerdefinierte Daten.

Jedes Interface hat seinen eigenen Link-Layer-Typ, seine Snaplen und seine Zeitstempelauflösung, sodass eine Datei etwa Ethernet- und Loopback-Verkehr mischen kann. Optionen ergänzen Kommentare, Interface-Namen und das aufzeichnende Betriebssystem. Das Format ist im pcapng-Draft der IETF spezifiziert; die Unterschiede erklärt PCAP vs. PCAPNG.