wan 开头的是否是拨号网络？

ProtocolCharacteristics->Name.Buffer
等于
UNICODE_STRING_CONST(\"TCPIP\")
表示的是经过网卡的数据包；
等于
UNICODE_STRING_CONST(\"TCPIP_WANARP\")
表示是通过拨号的数据包；
不知道这样理解对不对？

那只是注册协议的名字而已。

ProtocolCharacteristics->Name.Buffer
等于
UNICODE_STRING_CONST(\"TCPIP\")
表示的是经过网卡的数据包；
等于
UNICODE_STRING_CONST(\"TCPIP_WANARP\")
表示是通过拨号的数据包；
不知道这样理解对不对？

我也不是很清楚,不过我知道你的理解是有问题.我这么认为:

无论是走拨号或者ADSL拨号还是网卡,包都会从TCPIP里面出来,要判断是否是拨号,应该从MediamType判断,NdisMediumWan是走拨号.

至于TCPIP_WANARP是做什么的,我也不太清楚,也没太关心过,只知道注册表里的描述是Remote Access IP ARP Driver.