<div dir="ltr">A copy of the pcap would be helpful if you are able to share it.  Most of the time when I see weirdness like this it is due to hardware offload setting being enabled on the nic you are performing inspection/capture on.  Perhaps have a look at the following and try again.<div>
<br></div><div><a href="http://blog.securityonion.net/2011/10/when-is-full-packet-capture-not-full.html">http://blog.securityonion.net/2011/10/when-is-full-packet-capture-not-full.html</a><br></div><div><div><br></div><div>
Regards,</div><div><br></div><div>Will</div></div></div>