wireshark问题

水深无声 2022-03-18 12:07 329阅读 0赞

1 windows主机配置ip addr，子网掩码，默认网关（路由器），所以主机的路由很简单：dest ip 根据subnet mask 判断是否和host ip在同一子网，若是，arp找到dest mac地址直接交付，若不是arp找到默认网关mac发出。  
2 但是某些主机除直接交付，默认网关外，不排除有特定主机路由或路由表有普通项，需要注意  
3 根据自己所在网络的mtu（比如以太网，以太网帧的数据长度不超过1500）通告对方自己能接收的mss，双向通告，然后根据更小值确定此连接的mss，但是rfc879和教材表明两方向mss可不同？  
4 ftp 控制连接：客户端连服务器21端口，进行登录， 被动模式（客户端发起数据连接，服务器控制连接内需声明自己的端口）， 主动模式（服务器发起主动数据连接，客户端控制连接内需声明自己的端口和操作）  
数据连接：主动模式（服务器20端口连接客户端声明端口，数据传输，关闭连接）  
被动模式（客户端连接服务器声明端口，数据传输，关闭连接）  
控制连接登录后一直存在，数据连接只和一次具体操作相关（ls，读）  
5 https所有内容都被加密了  
6 大带宽进入小带宽易阻塞，小带宽进入大带宽不易阻塞。带宽不会影响你能发多少数据（受拥塞/发送窗口影响），但会影响你发这些数据的速度（发送时延=数据长度/发送速率（受带宽限制）），大带宽导致你在更短的时间内把同样大量的数据放入网络。这些数据进入小带宽网络处理起来就吃力，甚至丢弃。所以加大带宽若导致丢弃拥塞重传对性能可能造成负面影响。节点（如交换机）在缓冲区将满时可通过暂停帧（pause\_time=n）告知发送端暂停发送，以避免丢包，后续通过（pause\_time=0）的暂停帧进行恢复。  
7 ssh：服务器收到访问请求后会dns客户端ip的PTR记录，可能会导致ssh访问慢（服务器两次尝试最高可花10s才返回客户端提示输密码），可关闭这个配置  
8延迟确认：等待以进行捎带确认，有时候很慢（试想未开启SACK的多个包丢失的快速重传，快重传3，等很久ack4，快重传4）,Nagle+延迟确认对小包也是很慢，延迟确认四次挥手可变为三次（二三包合为一个）  
9累积确认：比如收到两个包发一次ack，当然延迟确认也暗含累积确认的功能  
10 bytes in flight(在途字节数)：发出去还没有收到ack的字节数  
11 理论上的拥塞点：拥塞窗口变化曲线里引发拥塞（超时重传）时的拥塞窗口  
实际计算拥塞点：然而引发拥塞时，我们不知道拥塞窗口多大，也不知道发送窗口多大，只能依据此时的在途字节数  
可考虑把发送窗口固定限制在计算出的拥塞点以下  
12 LSO(Large Segment Offload): tcp分段（MSS）和ip分片的工作本来由cpu负责，为减轻CPU 负荷，交由网卡（网络适配器）负责，即传送给网卡大块数据，网卡完成分段分片工作（可能提取复制tcp和ip头），可能在发送方wireshark（即cpu视角）来看数据长度过大。  
13 udp可能导致ip分片，部分分片丢失对端超时后丢弃已有分片且发ICMP时间超过差错报告报文，只能在应用层重传所有分片了，而tcp自带分段重传功能就好多了。  
14 经过mtu较小网络， 查看DF，能分片则分，不能丢弃且ICMP，ping -f（不允许分片） -l 数据长度 来确定路径中最小mtu，当然有些网络会禁用ICMP那就不行了。IP数据报长度=数据长度+28  
15 以太网，其帧的数据长度（mtu）1500，换个其他网，其帧的数据长度可能就其他长度了。  
16 利用带宽：连接少，发送窗口小，很难充分利用带宽，连接太多抢占同一链路，导致丢包，性能下降。某些测速软件建5个连接进行下载以测速（算是比较充分利用带宽了）。  
17 wireshark在握手后开始抓包，不知道TCP Window Scale，无法计算出真实的接收窗口。  
18 假服务器可能露馅：ttl，Identification，接收窗口（它可能不知道握手约定的TCP Window Scale，返回真实窗口导致用户收到接收窗口奇大的包）  
19 持久连接：一个tcp多次request，response  
HTTP/1.0 需通过Connection:Keep-Alive显式开启持久连接，浏览器Connection:Keep-Alive（请保持持久连接），服务器Connection:Keep-Alive（好，我支持且没关连接），每次浏览器请求都得Connection:Keep-Alive，否则服务器就关闭连接  
HTTP/1.1默认持久连接，浏览器可不发Connection header，服务器Connection:Keep-Alive告知我不关连接，浏览器Connection:Close告知服务器这次应答发完后请关闭连接  
http pipeline: HTTP/1.1开始支持（但很多浏览器并没有实现），即同时可发出多个请求（不用等响应），以前是请求-响应，再请求。