使用Wireshark分析TCP協(xié)議

1、9/9實(shí)驗(yàn)五 使用Wireshark分析TCP協(xié)議一、實(shí)驗(yàn)?zāi)康姆治鯰CP協(xié)議二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟1、TCP介紹（1）連接建立：TCP連接通過(guò)稱(chēng)為三次握手的三條報(bào)文來(lái)建立的。在Wireshark中選擇open-file,選擇文件tcp_pcattcp_n1.cap，其中分組3到5顯示的就是三次握手。第一條報(bào)文沒(méi)有數(shù)據(jù)的TCP報(bào)文段，并將首部SYN位設(shè)置為1。因此，第一條報(bào)文常被稱(chēng)為SYN分組。這個(gè)報(bào)文段里的序號(hào)可以設(shè)置成任何值，表示后續(xù)報(bào)文設(shè)定的起始編號(hào)。連接不能自動(dòng)從1開(kāi)始計(jì)數(shù)，選擇一個(gè)隨機(jī)數(shù)開(kāi)始計(jì)數(shù)可避

2、免將以前連接的分組錯(cuò)誤地解釋為當(dāng)前連接的分組。觀察分組3，Wireshark顯示的序號(hào)是0。選擇分組首部的序號(hào)字段，原始框中顯示“94 f2 2e be”。Wireshark顯示的是邏輯序號(hào)，真正的初始序號(hào)不是0。如圖1所示：圖：邏輯序號(hào)與實(shí)際初始序號(hào)SYN分組通常是從客戶(hù)端發(fā)送到服務(wù)器。這個(gè)報(bào)文段請(qǐng)求建立連接。一旦成功建立了連接，服務(wù)器進(jìn)程必須已經(jīng)在監(jiān)聽(tīng)SYN分組所指示的IP地址和端口號(hào)。如果沒(méi)有建立連接，SYN分組將不會(huì)應(yīng)答。如果第一個(gè)分組丟失，客戶(hù)端通常會(huì)發(fā)送若干SYN分組，否則客戶(hù)端將會(huì)停止并報(bào)告一個(gè)錯(cuò)誤給應(yīng)用程序。如果服務(wù)器進(jìn)程正在監(jiān)聽(tīng)并接收到來(lái)的連接請(qǐng)求，它將以一個(gè)報(bào)文段進(jìn)行相應(yīng)，

3、這個(gè)報(bào)文段的SYN位和ACK位都置為1。通常稱(chēng)這個(gè)報(bào)文段為SYNACK分組。SYNACK分組在確認(rèn)收到SYN分組的同時(shí)發(fā)出一個(gè)初始的數(shù)據(jù)流序號(hào)給客戶(hù)端。分組4的確認(rèn)號(hào)字段在Wireshark的協(xié)議框中顯示1，并且在原始框中的值是“94 f2 2e bf”（比“94 f2 2e be”多1）。這解釋了TCP的確認(rèn)模式。TCP接收端確認(rèn)第X個(gè)字節(jié)已經(jīng)收到，并通過(guò)設(shè)置確認(rèn)號(hào)為X+1來(lái)表明期望收到下一個(gè)字節(jié)號(hào)。分組4的序號(hào)字段在Wireshark的協(xié)議顯示為0，但在原始框中的實(shí)際值卻是“84 ca be b3”最后，客戶(hù)端發(fā)送帶有標(biāo)志ACK的TCP報(bào)文段，而不是帶SYN的報(bào)文段來(lái)完成三次握手的過(guò)程。這

4、個(gè)報(bào)文段將確認(rèn)服務(wù)器發(fā)送的SYNACK分組，并檢查T(mén)CP連接的兩端是否正確打開(kāi)合運(yùn)行。（2）關(guān)閉連接當(dāng)兩端交換帶有FIN標(biāo)志的TCP報(bào)文段并且每一端都確認(rèn)另一端發(fā)送的FIN包時(shí)，TCP連接將會(huì)關(guān)閉。FIN位字面上的意思是連接一方再也沒(méi)有更多新的數(shù)據(jù)發(fā)送。然而，那些重傳的數(shù)據(jù)會(huì)被傳送，直到接收端確認(rèn)所有的信息。在tcp_pcattcp_n1.cap中，通過(guò)分組13至16我們可以看到TCP連接被關(guān)閉。2、TCP重傳當(dāng)一個(gè)TCP發(fā)送端傳輸一個(gè)報(bào)文段的同時(shí)也設(shè)置了一個(gè)重傳計(jì)時(shí)器。當(dāng)確認(rèn)到達(dá)時(shí)，這個(gè)計(jì)時(shí)器就自動(dòng)取消。如果在數(shù)據(jù)的確認(rèn)信息到達(dá)之前這個(gè)計(jì)時(shí)器超時(shí)，那么數(shù)據(jù)就會(huì)重傳。重傳計(jì)時(shí)器能夠自動(dòng)靈活設(shè)置

5、。最初TCP是基于初始的SYN和SYN ACK之間的時(shí)間來(lái)設(shè)置重傳計(jì)時(shí)器的。它基于這個(gè)值多次設(shè)置重傳計(jì)時(shí)器來(lái)避免不必要的重傳。在整個(gè)TCP連接中，TCP都會(huì)注意每個(gè)報(bào)文段的發(fā)送和接到相應(yīng)的確認(rèn)所經(jīng)歷的時(shí)間。TCP在重傳數(shù)據(jù)之前不會(huì)總是等待一個(gè)重傳計(jì)算器超時(shí)。TCP也會(huì)把一系列重復(fù)確認(rèn)的分組當(dāng)作是數(shù)據(jù)丟失的征兆。在Wireshark中選擇file-open,打開(kāi)文件pcattcp_retrans_t.cap和pcattcp_retrans_r.cap，對(duì)所俘獲的分組進(jìn)行分析如下：SACK選項(xiàng)協(xié)商在上面的每次跟蹤中，我們能觀察建立連接的三次握手。在SYN分組中，發(fā)送端在TCP的首部選項(xiàng)中通過(guò)包括S

6、ACK permitted選項(xiàng)來(lái)希望使用TCPSACK。在SYN ACK包中接收端表示愿意使用SACK。這樣雙方都同意接收選擇性確認(rèn)信息。SACK選項(xiàng)如圖2所示：圖2：SACK選項(xiàng)在TCP SACK選項(xiàng)中，如果連接的一端接收了失序數(shù)據(jù)，它將使用選項(xiàng)區(qū)字段來(lái)發(fā)送關(guān)于失序數(shù)據(jù)起始和結(jié)束的信息。這樣允許發(fā)送端僅僅重傳丟失的數(shù)據(jù)。TCP接收端不能傳遞它們接收到的失序數(shù)據(jù)給處于等待狀態(tài)的應(yīng)用程序，因?yàn)樗偸莻鬟f有序數(shù)據(jù)。因此，接收到的失序數(shù)據(jù)要么被丟掉，要么被存儲(chǔ)起來(lái)。接收端的存儲(chǔ)空間是有限的，TCP發(fā)送端必須保存一份已發(fā)送的數(shù)據(jù)的副本，以防止數(shù)據(jù)需要重發(fā)。發(fā)送端必須保存數(shù)據(jù)直到它們收到數(shù)據(jù)的確認(rèn)信息為

7、止。接收端通常會(huì)分配一個(gè)固定大小的緩沖區(qū)來(lái)存儲(chǔ)這些失序數(shù)據(jù)和需要等待一個(gè)應(yīng)用程序讀取的數(shù)據(jù)。如果緩沖區(qū)空間不能容納下更多數(shù)據(jù)，那么接收端只有將數(shù)據(jù)丟棄，即使它是成功到達(dá)的。接收端的通知窗口字段用來(lái)通知發(fā)送端還有多少空間可以用于輸入數(shù)據(jù)。如果數(shù)據(jù)發(fā)送的速度快于應(yīng)用程序處理數(shù)據(jù)的速度，接收端就會(huì)發(fā)送一些信息來(lái)告知發(fā)送端其接收窗口正在減小。在這個(gè)跟蹤文件中，接收端通知窗口的大小是變化的，從16520個(gè)字節(jié)到17520個(gè)字節(jié)。TCP發(fā)送端在發(fā)送之前有一個(gè)容納數(shù)據(jù)的有限空間。然而，和接收端不同的是，發(fā)送端是限制自己的發(fā)送速率。如果緩沖區(qū)的空間滿(mǎn)了，嘗試寫(xiě)入更多數(shù)據(jù)的應(yīng)用程序?qū)⒈蛔枞钡接懈嗟目臻g可以利

8、用為止。（2）分組的丟失與重傳用顯示過(guò)濾器tcp.analysis.retransmission搜索重傳。在pcattcp_retrans_t.cap中應(yīng)用該過(guò)濾器，在這個(gè)跟蹤文件中，我們看見(jiàn)分組12是這9次重傳的第一次。如圖所示3：圖3：pcattcp_retrans_t.cap中次重傳通過(guò)觀察分組12的細(xì)節(jié)，我們發(fā)現(xiàn)序號(hào)是1001，我們發(fā)現(xiàn)分組5也有同樣的序號(hào)。有趣的是，分組5是對(duì)1001到2460號(hào)字節(jié)的傳輸，而分組12卻是對(duì)1001到2000號(hào)字節(jié)的重傳。分組20是對(duì)2001到2460號(hào)字節(jié)的重傳。分組4是對(duì)1到1000號(hào)字節(jié)的傳輸，分組5是對(duì)1001到2460號(hào)字節(jié)的傳輸，分組7是對(duì)

9、2461到3920號(hào)字節(jié)的傳輸。我們已檢查了發(fā)送端上獲取的所有跟蹤記錄。我們從接收端的角度來(lái)看同一個(gè)連接，我們會(huì)發(fā)現(xiàn)有些不同。在pcattcp_retrans_r.cap中，我們發(fā)現(xiàn)1到1000號(hào)字節(jié)是在分組4里被傳送的，而2461到3920號(hào)字節(jié)是在分組6（而不是分組7）中被傳送的。在這個(gè)跟蹤文件中，分組5是1到1000號(hào)字節(jié)的確認(rèn)。我們沒(méi)有看到1001到2460號(hào)字節(jié)的傳輸。但是他們確實(shí)被傳輸送了，只是在發(fā)送端和接收端的某個(gè)環(huán)節(jié)丟失了?，F(xiàn)在我們來(lái)看接收端是如何處理這些丟失字節(jié)的。在分組4達(dá)到以后，接收端會(huì)以確認(rèn)號(hào)1001（分組5）作為響應(yīng)。在分組6的2461到3920號(hào)字節(jié)達(dá)到之后，接收端

10、仍然以確認(rèn)號(hào)1001（分組7）作為響應(yīng)。即使它接到的是附加數(shù)據(jù)，確認(rèn)號(hào)仍然是它期望收到的下一個(gè)有序字節(jié)的序號(hào)。同樣在含有3921到5381號(hào)字節(jié)的分組8到達(dá)之后，接收端仍然以1001響應(yīng)。最后，1001到2000號(hào)字節(jié)被重傳。在這兩次跟蹤中，我們都在分組12里看到這種情況。于是接收端增加它的確認(rèn)號(hào)到2001。最終2001到2460號(hào)字節(jié)被重傳。在這次重傳之后，接收端可以立即從確認(rèn)字節(jié)2001跳到確認(rèn)字節(jié)11221。四、實(shí)驗(yàn)報(bào)告內(nèi)容在實(shí)驗(yàn)的基礎(chǔ)上，回答以下問(wèn)題：客戶(hù)服務(wù)器之間用于初始化TCP連接的TCP SYN報(bào)文段的序號(hào)（sequence number）是多少？在該報(bào)文段中，是用什么來(lái)標(biāo)識(shí)該報(bào)文段是SYN報(bào)文段的？服務(wù)器向客戶(hù)端發(fā)送的SYNACK報(bào)文段序號(hào)是多少？該報(bào)文段中，ACKnowledgement字段的值是多少？找出pcattcp_retrans_t.