文档

Wireshark的常见提示

更新时间:

概述

本文主要介绍Wireshark中出现的一些常见提示。


详细信息

Wireshark简介

Gerald Combs是堪萨斯城密苏里大学计算机科学专业的毕业生。1998年发布了第一版Ethereal工具,Ethereal工具使用的GPL协议。2006年因商标被占用,更名为Wireshark。Wireshark是开源的,目前合作开发团队超过500个。


Wireshark特点

支持的协议:超过1000协议。

用户友好界面:基于协议的颜色标注,原始数据的图形展示。

免费和开源支持:官方网站

支持大多数主流操作系统:Windows、Linux和Mac OS。


抓包分析中Wireshark常见的一些提示

提示一:[Packet size limited during capture]

  1. 此提示说明被标记的包信息没有完整的获取,一般是由于抓包方式引起。如下图所示,全长有171字节,但只获取到前96个字节。
  2. 某些OS系统中,tcpdump只抓每个帧的前96字节,一般可以用“-s”参数指定想要抓的字节数。如以下命令所示。
    tcpdump -i eth0 -s 1000 -w tcpdump.cap


提示二:[TCP Previous segment not captured]

  1. 此提示说明未捕获TCP协议之前的分段,抓取的数据段缺失。一般是由于丢包或者抓包工具漏掉导致。具体示例如下图所示。
  2. 使用TCP协议传输过程中,同一台主机发出的数据段应为连续的,即后一个包的Seq等于前一个包的Seq加Len,而对方的Ack等于发送方刚发的Seq加Len,三次握手和四次挥手例外。如果后一个包的Seq大于前一个包的Seq加Len,就可以清楚中间缺失了一段数据。如果在整个网络包中排除乱序,就会提示“TCP Previous segment not captured”。判断是否遗漏还是丢包,看回复方的Ack,如果包含没抓到的,可能抓包工具漏掉。


提示三:[TCP ACKed unseen segment]

  1. 此提示说明被Ack的包的没有被抓到,此提示可能是最常见的Wireshark提示,几乎可以永远忽略。具体示例如下图所示。
  2. 上图中32行的信息Seq加上Len的值为6889加1448等于8337,服务器下一个包应该是Seq等于8337,但是35行确是11233,说明8337~11232这段没有抓到信息,即只抓到后面的Ack没抓到前面数据包。8337~11232这段信息理应出现在34行之前。


提示四:[TCP Out-of-Order]

  1. 此提示说明数据包乱序,当Wireshark发现后一个包的Seq小于前一个包的Seq加Len,则会被认为是乱序。具体示例如下图所示。
  2. 小跨度的乱序影响不大,比如原本1、2、3、4、5被打乱成2、1、3、4、5。但跨度大可能会触发快速重传,比如打乱成2、3、4、5、1,就会触发足够多的“Dup ACK”,从而导致包重传。


提示五:[TCP Dup ACK]

此提示说明出现重复的Ack。当乱序或者丢包发生时,接受方收到一些Seq比期望值大的包。每收到一个这种包就会回应一次期望的Seq值,依次提醒发送方,因此会产生重复的Ack。具体示例如下图所示。


提示六:[TCP Retransmission]

此提示说明数据包进行重传,如果一个包丢失,又没有后续包可以在接收方触发“Dup ACK”,就不会快速重传。这种情况发送方只能等到超时重传。具体示例如下图所示,客户端发了1053号原始包,一直等不到对应的Ack,于是只能在100多毫秒之后重传1225包。

注:TCP为可靠传输,通过在发送时设置一个定时器来解决数据包确认问题。如果当定时器溢出时还没有收到确认,它就重传该数据。对于重传时间是如何计算的问题,在RFC2988中也提供了一种Linux至今都在使用的方案。详细介绍可以参考文档TCP-IP详解中的RTT和RTO。


提示七:[TCP Fast Retransmission]

此提示说明数据包快速重传,当发送方收到3个及3个以上的“TCP Dup ACK”时,就意识到之前发的包可能丢了,于是快速重传。具体示例如下图所示。当服务器端收到3个TCP Dup ACK,于是在1177号包重传了Seq等于991851。

注:快速重传机制,实现了另外的一种丢包评定标准。当接收方一连收到三个重复的ACK,那么发送方不必等待重传定时器到期,尽早重传未被确认的报文段。


提示八:[TCP zerowindow]

此提示说明接受窗口为0,缓存区已满,不再接受数据。“win=”表示这个包的发送方还有多少缓存区可以接受数据。“Win=0”表示缓存区已满,告知对方自己不再接受数据。具体示例如下图所示。


提示九:[TCP window Full]

此提示说明发送窗口已满。具体示例如下图所示。表示包的发送方已经把对方所声明的接受窗口耗尽,暂时无法再发送数据。

注:在途字节数(Bytes in flight)等于对方的接受窗口,表示发送方已经发送数值,减去对方最近的一次确认数值,等于确认了多少数值。也就是等于Seq加上Len等于Ack,即最近的一次Ack。以下2个字段意味着传输暂停,都需引起重视。

  • TCP zerowindow:表示这个包的发送方暂时无法接受数据
  • TCP window Full:表示这个包的发送方暂时无法发送数据


提示十:[TCP segment of a reassembled PDU]

此提示说明重组PDU的TCP协议分段。表示Wireshark可以把属于同一个应用层PDU的TCP包虚拟的集中起来。具体示例如下图所示,需要在软件中设置,选择 Edit > Preferences > Protocal > TCP,确认启用“Allow sub dissector to reassemble TCP streams”,ACK确认包号是相同的。


提示十一:[Continuation to #X]

此提示表示关闭了“Allow sub dissector to reassemble TCP streams”,按照实际情况开启即可


提示十二:Time-to-live exceeded (Fragment reassembly time exceeded)

此提示书名超出TTL生存时间,即超出碎片重组时间。表示这个包的发送方之前收到了一些分片,但是由于某些原因迟迟无法组装起来。具体示例如下图所示,由于上海发往北京的一些包被分片传输,且有一部分在链路上丢失。因此北京无法组装起来,只能使用这个ICMP报错告知对方。


相关文档

  1. Wireshark网络分析的艺术,林沛满著_北京:人民邮电出版社 ,2016.02_P198
  2. Practical Packet Analysis,3rd Edition,Using Wireshark to Solve Real-World Network Problems,Chris Sanders,March 2017,Pages: 368


适用于

  • 云服务器 ECS
  • 本页导读 (1)
文档反馈