Tại sao WireShark nghĩ rằng khung này là phân đoạn TCP của PDU được ghép lại

Vui lòng tìm một tập tin pcap nhỏ ở đây minh họa vấn đề của tôi.

Tôi có một cái bắt tay TCP ba chiều, theo sau là hai lần đăng nhập FIX. (FIX là một giao thức được sử dụng trong giao dịch.) Đăng nhập FIX đầu tiên (khung 4) được WireShark giải thích và phân tích tốt, nhưng đăng nhập thứ hai (khung 6) được hiểu là a TCP segment of a reassembled PDU.

Tuy nhiên, khung 6 không phải là phân đoạn TCP của PDU được ghép lại. Nó chứa một PDU TCP đầy đủ cần được giải thích và phân tích cú pháp dưới dạng đăng nhập FIX. Tôi đã kiểm tra rằng các số thứ tự, số ACK, tổng độ dài IP, v.v ... đều tốt.

Tại sao khung 6 được hiểu là phân đoạn TCP của PDU được ghép lại?

tcp wireshark

— Ngẫu nhiên
nguồn

Có một vấn đề mà bạn đang gặp phải vì điều này?

— Nathan C

Vâng, tôi đang tạo ra tất cả các khung này, và rõ ràng có điều gì đó không đúng với những gì tôi đã làm.

— Randomblue

Tôi mạnh mẽ đề nghị bao gồm các chi tiết nổi bật của khung 4 và 6 (và có lẽ các khung liền kề) trong câu hỏi của bạn. Liên kết đến tệp pcap rất tuyệt, nhưng chỉ một số ít độc giả sẽ có xu hướng thực sự tải xuống và xem nó.

— Skyhawk

Trong cái nhìn đầu tiên, không có gì tôi có thể tìm thấy. Phân đoạn 4 không bị phân mảnh. Khung 6 là từ đích và bạn đang nói rằng khung 6 này nên được hiểu là phản hồi của máy chủ của khung 4. tức là đăng nhập FIX nên được thực hiện ở đó. đúng.

— Soham Chakraborty

Có các máy chủ được đánh số .76 và .67 là một chút phiền não.

Wireshark đang gọi khung 6 là "phân đoạn TCP của PDU được lắp lại" bởi vì việc triển khai TCP của bạn vào ngày 10.10.10.67 đang chọn gửi một tải trọng ACK (một ACK "trần trụi") thay vì tải trọng được gửi trong khung 6 w / ACK trong khung 5. (Đây là hành vi phụ thuộc vào ngăn xếp OS / IP.) Đến lượt nó, kích hoạt một hành vi trong trình phân tích TCP để xử lý các tải trọng từ nhiều phân đoạn TCP cho trình phân tích FIX. Vì lý do nào, trình phân tích FIX không diễn giải khung 6.

Nếu bạn tắt tùy chọn "Cho phép trình phân phối phụ bỏ luồng TCP" trong các tùy chọn của trình phân tích TCP, bạn sẽ thấy Wireshark diễn giải điều này theo cách khác:

Ảnh chụp màn hình của Wireshark

Dưới đây là một số thảo luận từ danh sách người dùng wireshark về điều tương tự .

— Evan Anderson
nguồn