数据包过滤处理是流量技术中的难点和重点,Libpcap 提供了最强大的数据流过滤引擎。它采用了一种高效的方法来捕获网络数据流的某些数据且常常和系统的捕获机制相集成。过滤数据的函数是 pcap_compile()和 pcap_setfilter()来实现的。pcap_compile()它将一个高层的布尔过滤表达式编译成一个能够被过滤引擎所解释的低层的字节码，pcap_setfilter()将一个过滤器与内核捕获会话向关联。当 pcap_setfilter()被调用时，这个过滤器将被应用到来自网络的所有数据包，并且，所有的符合要求的数据包(即那些经过过滤器以后，布尔表达式为真的包)，将会立即复制给应用程序

非常好，你对 Libpcap 提供的数据包过滤处理函数有很好的理解。下面我来进一步补充一下这两个函数的使用方法。

函数原型：

int pcap_compile(pcap_t *p, struct bpf_program *fp, const char *str, int optimize, bpf_u_int32 netmask);

参数说明：

- `p`：指向 pcap_t 结构体的指针，表示要编译过滤器的会话。
- `fp`：指向 bpf_program 结构体的指针，表示编译后的过滤器。
- `str`：表示要编译的布尔表达式。
- `optimize`：指定是否开启优化。如果这个参数为 1，表示开启优化；如果为 0，表示不开启优化。
- `netmask`：用于指定子网掩码，如果不知道子网掩码，可以将这个参数设置为 0。

使用示例：

pcap_t *handle;
struct bpf_program filter;  // 过滤器
char *devname = "eth0";
char errbuf[PCAP_ERRBUF_SIZE];
char *filter_exp = "tcp and dst port 80";  // 要过滤的表达式

// 打开网卡
handle = pcap_open_live(devname, 65535, 1, 1000, errbuf);
if (handle == NULL) {
    printf("Error: %s\n", errbuf);
    return 1;
}

// 编译过滤器
if (pcap_compile(handle, &filter, filter_exp, 0, 0) == -1) {
    printf("Error: %s\n", pcap_geterr(handle));
    return 1;
}

// 应用过滤器
if (pcap_setfilter(handle, &filter) == -1) {
    printf("Error: %s\n", pcap_geterr(handle));
    return 1;
}

上面的代码会打开一个名为 "eth0" 的网卡，并编译一个过滤器，过滤表达式为 "tcp and dst port 80"，表示只捕获目的端口为 80 的 TCP 数据包。如果出现错误，会将错误信息输出到控制台。

希望这个示例能够帮助你理解如何使用 pcap_compile() 和 pcap_setfilter() 函数来过滤网络数据包。