如何利用wireshark对TCP消息进行分析

Posted 快乐的GTD吧

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了如何利用wireshark对TCP消息进行分析相关的知识,希望对你有一定的参考价值。

原文:https://www.cnblogs.com/studyofadeerlet/p/7485298.html

如何利用wireshark对TCP消息进行分析

 

(1) 几个概念介绍

1 seq:数据段的序号,计算方法或者增长方式:seq2=seq1+len1(len仅仅是数据段的长度,不包括TCP头)(同一个发送方的tcp报文序号的计算方法)

ACK:确认号的计算方法,接收方的ACK号与发送方的SEQ和LEN之间的关系:

甲:发送“seq:x,len:y”给乙;

乙:回复的确认号,x+y,表示它收到了x+y之前的所有字节;

小结:

综合上面SEQ和ACK的计算,可以发现:

(1)理论上,接收方回复的Ack恰好就等于发送方的下一个seq号;

(2)TCP的确认是可以累积的;

(3)这几个参数的意义:

  包乱序时,接收方只要根据Seq号从小到大重新排好就行了,保证了TCP的有序性;

  有包丢失时,接收方判断丢了哪些包的方法:通过前一个Seq+Len的值与下一个Seq的差,保证了TCP的可靠性;

 

3 TCP头附带的几个标识位:SYNFINRST

 

4 TCP窗口

 

1)存在意义

 

现实中存在一些限制,如接收方的缓存(接收窗口)可能一下子接受不了这么多数据,而网络的带宽也不一定足够大,一口气发太多会导致丢包事故,TCP的发送窗口就是发送方一口气可以发送的数据量。

 

2发送窗口对性能的影响以及发送窗口与拥塞的关系:

 

 

3)如何在包中看出发送窗口的大小

 

 

 

4“接收方处理数据的速度”与“接收数据的速度”之间的关系对“接收窗口”的影响:

 

 

 

5TCP头中的window sizecalculated window sizewindow size scaling factor这三个参数的含义

 

6关于拥塞窗口的维护

 

                      

 

 “慢启动拥塞避免临界窗口值的概念

 

7)超时重传

 

  

 

超时重传对性能的影响:

 

   

8TCP DUP ACK与快速重传

Tcp Dup Ack xxx#y 代表了数据段丢失的TCP状态,xxx代表数据丢失的位置,#后代表第几次丢失文;

快速重传的概念

Tcp Dup Ack规定凑满3个时,启动快速重传的原因分析:(目的:避免由于乱序而导致的快速重传)

                       

 

9)快速重传与超时重传的区别

快速重传是对超时重传的优化,当触发3个及以上dup ack包时,会触发重传;但是如果丢了报,且没有触发快速重传,就只能等待超时重传了。

下面是丢包对大文件和小文件影响的区别,原因就在于上面一段的描述:

 

10Previous Segment not capured

说明乱序了,前一个包没有收到,收到后面的包了。

2 wireshark分析实例

下面抓包来自于手机利用FTP下载文件速率小的案例。

1 TCP重复确认的案例

tcp重复确认:表示该ACK包发生了丢失,导致发送方对包进行了重传,网关测抓包,发现,最严重的一个丢包是,一个包重传了37次:(同一个包的dup ack的时间间隔约10ms,可以以725这个包为例分析,该包重传了37次);

                       

“连续多个包丢失”的场景

“SACK方案”

同样对网关测抓包TCP头中的sack信息进行分析:

一个dup ack包,725#3,是725号包的第三次重传ack,内容如下:

 

 

分析:

SACK=32121~33581和35041~37961,而ACK=29201,这样,FTP server就会知道:

32121~33581和35041~37961都已经收到了,而前面的29201~32120之间的2920个字节没有收到;

故:

 

以上是关于如何利用wireshark对TCP消息进行分析的主要内容,如果未能解决你的问题,请参考以下文章

如何分析wireshark追踪tcp流中的信息

如何用wireshark对tcp进行抓包

利用wireshark抓取TCP的整个过程分析。

计网 - TCP 实战:如何进行 TCP 抓包调试?

FTP协议的粗浅学习--利用wireshark抓包分析相关tcp连接

深入理解TCP协议及其源代码——三次握手