如何利用wireshark对TCP消息进行分析

Posted 2020-10-05 pure

（1） 几个概念介绍

1 seq：数据段的序号，计算方法或者增长方式：seq2=seq1+len1（len仅仅是数据段的长度，不包括TCP头）(同一个发送方的tcp报文序号的计算方法)

2 ACK：确认号的计算方法，接收方的ACK号与发送方的SEQ和LEN之间的关系：

甲：发送“seq：x，len：y”给乙；

乙：回复的确认号，x+y，表示它收到了x+y之前的所有字节；

小结：

综合上面SEQ和ACK的计算，可以发现：

(1)理论上，接收方回复的Ack恰好就等于发送方的下一个seq号；

(2)TCP的确认是可以累积的；

(3)这几个参数的意义：

  包乱序时，接收方只要根据Seq号从小到大重新排好就行了，保证了TCP的有序性；

  有包丢失时，接收方判断丢了哪些包的方法：通过前一个Seq+Len的值与下一个Seq的差，保证了TCP的可靠性；

 

3 TCP头附带的几个标识位：SYN、FIN、RST

 

4 TCP窗口

 

（1）存在意义

 

现实中存在一些限制，如接收方的缓存（接收窗口）可能一下子接受不了这么多数据，而网络的带宽也不一定足够大，一口气发太多会导致丢包事故，TCP的发送窗口就是发送方一口气可以发送的数据量。

 

（2）发送窗口对性能的影响以及发送窗口与拥塞的关系：

 

 

（3）如何在包中看出发送窗口的大小

 

 

 

（4）“接收方处理数据的速度”与“接收数据的速度”之间的关系对“接收窗口”的影响：

 

 

 

（5）TCP头中的window size、calculated window size、window size scaling factor这三个参数的含义

 

（6）关于拥塞窗口的维护

 

                      

 

 “慢启动”、“拥塞避免”、“临界窗口值”的概念

 

（7）超时重传

 

  

 

超时重传对性能的影响：

 

   

（8）TCP DUP ACK与快速重传

Tcp Dup Ack xxx#y 代表了数据段丢失的TCP状态，xxx代表数据丢失的位置，#后代表第几次丢失文；

快速重传的概念

Tcp Dup Ack规定凑满3个时，启动快速重传的原因分析：（目的：避免由于乱序而导致的快速重传）

                       

 

（9）快速重传与超时重传的区别

快速重传是对超时重传的优化，当触发3个及以上dup ack包时，会触发重传；但是如果丢了报，且没有触发快速重传，就只能等待超时重传了。

下面是丢包对大文件和小文件影响的区别，原因就在于上面一段的描述：

 

（10）Previous Segment not capured

说明乱序了，前一个包没有收到，收到后面的包了。

（2） wireshark分析实例

下面抓包来自于手机利用FTP下载文件速率小的案例。

1 TCP重复确认的案例

tcp重复确认：表示该ACK包发生了丢失，导致发送方对包进行了重传，网关测抓包，发现，最严重的一个丢包是，一个包重传了37次：（同一个包的dup ack的时间间隔约10ms，可以以725这个包为例分析，该包重传了37次）；

                       

2 “连续多个包丢失”的场景

“SACK方案”

同样对网关测抓包TCP头中的sack信息进行分析：

一个dup ack包，725#3，是725号包的第三次重传ack，内容如下：

 

 

分析：

SACK=32121~33581和35041~37961，而ACK=29201，这样，FTP server就会知道：

32121~33581和35041~37961都已经收到了，而前面的29201~32120之间的2920个字节没有收到；

故：