网络基本功（二十四）：Wireshark抓包实例分析TCP重传

转载请在文首保留原文出处：EMC中文支持论坛https://community.emc.com/go/chinese

介绍

前文论述了TCP基础知识，从本节开始，通过TCP抓包实例来诊断TCP常见问题。

TCP进程通讯时，双方打开连接，发送数据，最后关闭连接。当TCP打开连接时，从源端口到目的端口发送一个请求。在应用建立或关闭时可能发生一些问题。本文讨论用Wireshark网络抓包的方法来定位及解决这一问题。

更多信息

问题的表现形式:

问题可能有多种表现类型：

尝试运行应用程序但发现应用程序无法工作。尝试浏览网络但无法获得响应。
尝试发送邮件但无法连接到邮件服务器。
问题可能由简单原因引起，如服务器宕机，服务器上没有运行应用程序，或在客户端到服务器的某一处网络断开。
问题也可能由复杂原因引起，如DNS问题，服务器内存不足无法连接（例如某一应用占用高内存空间），重复IP，以及其他原因。

处理方法:

下文会介绍解决问题的线索以及如何通过抓包来诊断TCP连接问题。通常，这些问题会导致运行应用程序时无法得到任何结果。

当你在运行一个应用程序时，例如数据库客户端，邮件客户端，观看视频等等，而又无法获得输出，按照以下步骤诊断：

确认服务器和应用程序正在运行。
确认客户端正在运行，IP地址已配置（手动或通过DHCP），并连接至网络。
Ping服务器并确认连接正常。
在某些情况下，ping不通服务器但连接正常。这是由于防火墙拦截了ICMP信息，所以如果无法ping通并不一定表示连接有问题。防火墙可能是网络中的专用设备或Windows/Linux/UNIX终端设备上安装的防火墙。

5. 抓包文件中，查找以下模式：

三重SYN信息而没有响应（见以下截屏）
SYN信息带一个reset(RST)响应

这两种情况下都有可能是防火墙拦截了特定应用程序或应用程序没有在运行。

以下截屏是一个简单的case：客户端无法连接到web服务器81.218.31.171（报文61,62和63）。可能是由于不被防火墙允许，或服务器发生故障。可以看到另一个站点108.160.163.43（报文65,66和67）的连接正常，因此连接问题仅限于81.218.31.171。

下例是一个这种情况相对复杂的case。该case中，客户想要登录到camera服务器来访问远程站点的camera。camera服务器的IP地址为135.82.12.1，问题在于客户能够看到服务器主页上的登录窗口，但无法登进系统。在下面的截图中可以看到，打开了一个到IP地址135.82.12.1的连接。到HTTP服务器的TCP连接是打开的，一开始看上去没有连接问题：

当我们过滤出目的IP地址为135.82.12.1的数据流，也就是camera服务器。这里可以看到，当尝试连接TCP端口6036时，得到了一个RST/ACK响应，有以下可能性：

防火墙拦截了端口6036
如果配置了端口地址转换（PAT），那么仅转换端口80而非6036
用户名和密码验证是在TCP端口6036上完成的，防火墙仅允许端口80，验证被拦截，应用无法工作

总之，当无法正常连接服务器时，检查服务器和客户端是否所有TCP/UDP端口都能通过网络转发，以及是否有未知的端口。

工作过程：

TCP连接开始时，发生了以下三步：

1. 客户端TCP进程发送了一个SYN报文。该报文中SYN标志位设置为1。这一报文中客户端：

指定自己的初始序列号。这是客户端发送给服务器的第一个字节。
指明自己的窗口大小。这是客户端分配给进程的缓存大小（位于客户端的RAM）。
设置自己将要使用的选项：MSS，Selective ACK，等等。

2. 当服务器收到建立连接请求，服务器：

发送SYN/ACK给客户端，确认接收到SYN请求。
指明服务器端的初始序列号。这是服务器发送给客户端的第一个字节。
指明服务器的窗口大小。这是服务器分配给进程的缓存大小（位于服务器RAM）。
回复请求选项并设置服务器端选项。

3. 当接收到服务器的SYN/ACK，客户端：

发送ACK报文给服务器，确认从服务器接收到SYN/ACK.
指明客户端窗口大小。尽管这一参数在第一个报文中定义过了，服务器还是会参考这个值，因为这是最新的窗口大小。

在TCP头部的选项字段中，有以下几个主要选项：

Maximum Segment Size（MSS）：TCP数据报的最大字节数，即从TCP头部开始直到报文末尾的字节数。
Windows Scale Option (WSopt)：这一因子与TCP头部的Window Size字段相乘，通知接收方扩大缓存。由于头部最大窗口大小是64KB，乘以因子4也就是256KB窗口大小。
SACK：Selective ACK，该选项使连接双方能够仅确认指定报文，当单个报文丢失，只有这个报文会被重传。连接建立时，双方都需要同意SACK。
Timestamps Option（TSopt）：该参数指客户端和服务器之间的延时。

在这一阶段，双方：

同意建立连接
知道对方的初始序列号
知道对方的窗口大小

在建立连接时，除了三路握手信号之外，其他都表示有问题。包括SYN没有响应，SYN之后SYN/ACK最后没有ACK，SYN响应为RST，等等。

总结：

如果SYN报文收到回复RST，则检查拦截了port号的防火墙。
三次SYN而没有任何回复，或者是由于应用程序没有响应，或者是由于防火墙拦截了特定端口上的请求。
永远记住确认一下是否有NAT，端口转发，以及涉及TCP和UDP端口的机制。这些机制可能会中断TCP正常操作。

参考

Network Analysis Using Wireshark Cookbook

网络基本功（二十四）：Wireshark抓包实例分析TCP重传相关推荐

计算机网络实验 ——wireshark抓包简要分析TCP、UDP协议
[计算机网络实验 --wireshark抓包简要分析TCP.UDP协议] (1)分析 TCPheader: Source Port:16bit源端口,数据发起者的端口号: Destination Po ...
网络基本功（二十三）：Wireshark抓包实例诊断TCP连接问题
转载请在文首保留原文出处:EMC中文支持论坛https://community.emc.com/go/chinese 介绍前文论述了TCP基础知识,从本节开始,通过TCP抓包实例来诊断TCP常见问题 ...
Wireshark抓包实例诊断TCP连接问题
转载请在文首保留原文出处:EMC中文支持论坛https://community.emc.com/go/chinese 介绍前文论述了TCP基础知识,从本节开始,通过TCP抓包实例来诊断TCP ...
Wireshark抓包——qq分析
Wireshark抓包qq分析 Wireshark(前称Ethereal)是一个网络封包分析软件.网络封包分析软件的功能是撷取网络封包,并尽可能显示出最为详细的网络封包资料.Wireshark使用Wi ...
wireshark抓包日志分析--洗号空闲超时案例
wireshark抓包日志分析数千线高并发压测时,asr_ring洗号服务报错Session idle too long,意思是洗号这边一直没有收到音频数据直到超时报错.由于缺失日志线索,只能通过w ...
Wireshark抓包示范：TCP三次握手建立连接和四次握手断开连接
转载请标注: 披萨大叔的博客 http://blog.csdn.net/qq_27258799/article/details/51379508 如果您觉得这篇文章对您有帮助,请点下文章最下面的赞~ ...
Wireshark抓包介绍和TCP三次握手分析
wireshark介绍 wireshark的官方下载网站: http://www.wireshark.org/ wireshark是非常流行的网络封包分析软件,功能十分强大.可以截取各种网络封包,显示 ...
tcpdump 抓二层包_可能是我见过的最简单易懂且实用的 TCPDump 和 Wireshark 抓包及分析教程！( 强烈建议收藏 )...
公众号关注「奇妙的 Linux 世界」设为「星标」,每天带你玩转 Linux ! 本文将展示如何使用 tcpdump 抓包,以及如何用 tcpdump 和 wireshark 分析网络流量.文中的例 ...
计网 | Wireshark抓包和分析腾讯视频点播详细过程
介绍这次抓包实践的目的是搞清楚腾讯视频Windows客户端在点播视频的时候,视频数据是如何传输来到客户端的. 最终分析得出结论,腾讯视频Windows客户端(具体版本见正文)点播视频时,使用了资源重 ...

网络基本功（二十四）：Wireshark抓包实例分析TCP重传

介绍

更多信息

参考

网络基本功（二十四）：Wireshark抓包实例分析TCP重传相关推荐

最新文章

热门文章