TCP Analysis Flags 之 TCP Keep-Alive

前言

默认情况下，Wireshark 的 TCP 解析器会跟踪每个 TCP 会话的状态，并在检测到问题或潜在问题时提供额外的信息。在第一次打开捕获文件时，会对每个 TCP 数据包进行一次分析，数据包按照它们在数据包列表中出现的顺序进行处理。可以通过 “Analyze TCP sequence numbers” TCP 解析首选项启用或禁用此功能。

TCP 分析展示

在 TCP 分析中和 TCP Keep-Alive 相关的实际上有两种信息，分别是：TCP Keep-Alive 、TCP Keep-Alive ACK 。实际运行环境中，有时 TCP Keep-Alive 单独出现的，因为有可能对端未确认 ，有时是一起出现的，也就是对端对 TCP Keep-Alive 数据包进行了确认，回复了 TCP Keep-Alive ACK 数据包。

在数据包文件中进行 TCP 分析时，关于 “TCP Keep-Alive”、“TCP Keep-Alive ACK” 一般是如下显示的，包括：

  1. Packet List 窗口中的 Info 信息列，以 [TCP Keep-Alive]、[TCP Keep-Alive ACK] 黑底红字进行标注；
  2. Packet Details 窗口中的 TCP 协议树下，在 [SEQ/ACK analysis] -> [TCP Analysis Flags] 中定义该 TCP 数据包的分析说明。

TCP Keep-Alive 定义

实际在 TCP 分析中，关于 TCP Keep-Alive 和 TCP Keep-Alive ACK 相关的定义也相对简单，主要说明如下：

  1. TCP Keep-Alive

当 TCP 数据段大小为 0 或 1 时设置，当前序列号比下一个期望的序列号小 1 字节，并且没有设置 SYN、FIN 或 RST。

替代 Fast Retransmission 、Out-Of-Order、Spurious Retransmission、Retransmission。

Set when the segment size is zero or one, the current sequence number is one byte less than the next expected sequence number, and none of SYN, FIN, or RST are set.Supersedes “Fast Retransmission”, “Out-Of-Order”, “Spurious Retransmission”, and “Retransmission”.

next expected sequence number，为 nextseq，定义为 highest seen nextseq。

具体的代码如下，总的来说这段代码的作用是检测出 TCP 保活包，并对其进行适当的标记，以便 Wireshark 能够正确识别和显示这种特殊的 TCP 控制数据包，帮助分析长连接的保活状态。这段代码的主要逻辑如下，如果所有下述条件均满足，则认为该数据包是一个保活探测包。

  • 检查 TCP 段大小是否为 0 或 1 字节；
  • 检查 Seq Num 比同方向之前的下一个期望的 Seq Num 少 1；
  • 检查当前数据包是否不是 SYN/FIN/RST 数据包。
    /* KEEP ALIVE* a keepalive contains 0 or 1 bytes of data and starts one byte prior* to what should be the next sequence number.* SYN/FIN/RST segments are never keepalives*/if( (seglen==0||seglen==1)&&  seq==(tcpd->fwd->tcp_analyze_seq_info->nextseq-1)&&  (flags&(TH_SYN|TH_FIN|TH_RST))==0 ) {if(!tcpd->ta) {tcp_analyze_get_acked_struct(pinfo->num, seq, ack, TRUE, tcpd);}tcpd->ta->flags|=TCP_A_KEEP_ALIVE;}
  1. TCP Keep-Alive ACK

当以下所有条件都为真时设置该标志：

  • TCP 段大小为 0
  • 窗口大小非零且没有改变
  • Seq Num 等于之前下一个期望的 Seq Num
  • ACK Num 等于之前的 LastACK Num
  • 最近看到的一个反向数据包是 Keep-Alive
  • SYN、FIN、RST 均未设置

替代 Dup ACK 和 ZeroWindowProbeAck。

Set when all of the following are true:The segment size is zero.
The window size is non-zero and hasn’t changed.
The current sequence number is the same as the next expected sequence number.
The current acknowledgment number is the same as the last-seen acknowledgment number.
The most recently seen packet in the reverse direction was a keepalive.
The packet is not a SYN, FIN, or RST.Supersedes “Dup ACK” and “ZeroWindowProbeAck”.

具体的代码如下，总的来说这段代码的作用是检测对 TCP 保活包的 ACK 响应，并对其进行适当的标记，以便 Wireshark 能够正确分析和显示 TCP 长连接的保活状态。这段代码的主要逻辑如下，如果所有下述条件均满足，则认为该数据包是一个保活探测响应包。

  • 检查 TCP 段大小是否为 0；
  • 检查窗口大小是否不为 0；
  • 检查当前窗口大小与同方向之前窗口大小是否相同；
  • 检查 Seq Num 是否等于同方向之前下一个期望的 Seq Num；
  • 检查 ACK Num 是否等于同方向之前的 LastACK Num；
  • 检查反方向上一个数据包是否是 TCP Keep-Alive；
  • 检查当前数据包是否不是 SYN/FIN/RST 数据包。
    /* KEEP ALIVE ACK* It is a keepalive ack if it repeats the previous ACK and if* the last segment in the reverse direction was a keepalive*/if( seglen==0&&  window&&  window==tcpd->fwd->window&&  seq==tcpd->fwd->tcp_analyze_seq_info->nextseq&&  ack==tcpd->fwd->tcp_analyze_seq_info->lastack&& (tcpd->rev->lastsegmentflags&TCP_A_KEEP_ALIVE)&&  (flags&(TH_SYN|TH_FIN|TH_RST))==0 ) {if(!tcpd->ta) {tcp_analyze_get_acked_struct(pinfo->num, seq, ack, TRUE, tcpd);}tcpd->ta->flags|=TCP_A_KEEP_ALIVE_ACK;goto finished_fwd;}
  1. next expected sequence number，为 nextseq，定义为 highest seen nextseq。
  2. lastack，定义为 Last seen ack for the reverse flow。

Packetdrill 示例

在上述 TCP Keep-Alive 和 TCP Keep-Alive ACK 定义和代码可知，TCP 分析的逻辑相对比较简单，因此通过 packetdrill 比较容易模拟出相关现象。

# cat tcp_keep_alive.pkt
0   socket(..., SOCK_STREAM, IPPROTO_TCP) = 3
+0  setsockopt(3, SOL_SOCKET, SO_REUSEADDR, [1], 4) = 0
+0  bind(3, ..., ...) = 0
+0  listen(3, 1) = 0+0 < S 0:0(0) win 1000 <mss 1460>
+0 > S. 0:0(0) ack 1 <...>
+0.01 < . 1:1(0) ack 1 win 1000+0 accept(3, ..., ...) = 4
+.1 write(4, ..., 500) = 500
+0 > P. 1:501(500) ack 1
+0.1 < . 1:1(0) ack 501 win 1000+0.1 < . 0:0(0) ack 501 win 1000
#

经 Wireshark 展示如下，可以看到满足判断条件后，No.6 标识 [TCP Keep-Alive] ，No.7 标识 [TCP Keep-Alive ACK] ，此时 No.6 的 TCP Len 长度为 0 字节。

同样，可以验证一下 TCP Keep-Alive 数据包 TCP Len 长度为 1 字节的场景，这在 RFC9293 中也明确说明，0 或 1 字节都可以。

# cat tcp_keep_alive_02.pkt 
0   socket(..., SOCK_STREAM, IPPROTO_TCP) = 3
+0  setsockopt(3, SOL_SOCKET, SO_REUSEADDR, [1], 4) = 0
+0  bind(3, ..., ...) = 0
+0  listen(3, 1) = 0+0 < S 0:0(0) win 1000 <mss 1460>
+0 > S. 0:0(0) ack 1 <...>
+0.01 < . 1:1(0) ack 1 win 1000+0 accept(3, ..., ...) = 4
+.1 write(4, ..., 500) = 500
+0 > P. 1:501(500) ack 1
+0.1 < . 1:1(0) ack 501 win 1000+0.1 < . 0:1(1) ack 501 win 1000
#

经 Wireshark 展示如下，可以看到满足判断条件后，No.6 标识 [TCP Keep-Alive] ，No.7 标识 [TCP Keep-Alive ACK] ，此时 No.6 的 TCP Len 长度为 1 字节。

实例

关于 TCP Keep-Alive 的实例，正常来说日常抓包中应该比较少看到，TCP Keep-Alive 数据包必须仅在没有未完成的发送数据，且在一定时间间隔内没有收到连接的数据或确认数据包时发送，默认的时间间隔为 2 小时，相对来说很长。

  1. TCP Keep-Alive Len 0 场景

TCP Keep-Alive 数据包 TCP Len 为 0 的场景相对来说更容易碰到。如下 TCP 流在经过 45 秒间隔后，客户端发出了 No.579 [TCP Keep-Alive] , 此时 TCP Len 为 0，之后服务器端响应 No.580 [TCP Keep-Alive ACK]。

  1. TCP Keep-Alive Len 1 场景

TCP Keep-Alive 数据包 TCP Len 为 1 的场景相对来说少见。如下 TCP 流在经过 45 秒间隔后，客户端发出了 No.151 [TCP Keep-Alive] , 此时 TCP Len 为 1，之后服务器端响应 No.152 [TCP Keep-Alive ACK]，之后每经过 45 间隔后，就继续保活检测和响应。

此案例有意思的是，No.151 TCP Keep-Alive 数据包 Seq Num 为 1155，TCP Len 为 1 ，相较于 No.124 Next Seq Num 1156 以及 No.125 ACK Num 1156，No.151 实际上回退了 1 字节，即所携带的 1 字节数据段为垃圾数据，而对于 No.152 在收到该数据后，除了响应标记 TCP Keep-Alive ACK 之外，同时会标记 [SLE==1155 SRE==1156]，说明这 1 个字节的数据之前已收到过，属于重复数据，这属于该 TCP 流建连时均支持 SACK ，其中 D-SACK 的功能实现。

  1. TCP Keep-Alive 无响应场景

无响应的场景没有什么太多要说的，这也是网上经常讨论的，没有数据传输的时候，对端主机宕机或是什么拔掉网线的场景。一端到了规定的时间之后，即发出 TCP Keep-Alive 数据包，对端如果无响应，则每间隔一段时间继续发送探测，持续规定的一定次数之后，中断该连接。在 Linux 内核可以有对应的参数可以设置保活时间、保活探测的次数、保活探测的时间间隔，以下都为默认值：

net.ipv4.tcp_keepalive_time=7200
net.ipv4.tcp_keepalive_intvl=75  
net.ipv4.tcp_keepalive_probes=9
  1. 不是 TCP Keep-Alive 的 TCP Keep-Alive 的场景一

一个特殊的例子，仔细看 No.1-2，再对比下标记成 TCP Keep-Alive 和 TCP Keep-Alive ACK 的 No.134-135，你会发现实际的 Seq Num、ACK Num、TCP Len 以及 SLE SRE 基本都是一模一样的。

No.134-135 是 TCP Keep-Alive 和 TCP Keep-Alive ACK，为什么 No.1-2 在这不是？真实的答案是，No.1-2 也是一对 TCP Keep-Alive 和 TCP Keep-Alive ACK 数据包。原因自然是关于数据包跟踪文件中上下文的关系，对于 No.1-2 数据包，它们是这个 TCP 流中抓取的前两个数据包，从 Wireshark 代码判断条件下，它是无法匹配 TCP Keep-Alive 和 TCP Keep-Alive ACK 的判断条件的，因此 No.1-2 不会标记，但实际确实是。

对比一下案例2，和案例4取自同一个跟踪文件，只不过案例2的TCP流中抓取到了前置数据包 No.123-125，因此后续的 TCP Keep-Alive 均能正常识别，而案例4缺少前置数据包，No.1-2 因此不会标记，空空如也。

  1. 不是 TCP Keep-Alive 的 TCP Keep-Alive 的场景二

另一个特殊的例子，其实原因是一样的，均是在 TCP 流中缺少前置数据包，只不过案例 4 中没有任何标记，而在此案例中会被标识为其它，也影响一定判断。

数据包 No.1-2 的类型实际上也是一对 TCP Keep-Alive 和 TCP Keep-Alive ACK 数据包。因为捕获数据包并未抓到之前的包，Wireshark 无法根据上文判断，所以并未标记成 TCP Keep-Alive 数据包，造成之后的数据包 No.2-4 进行 TCP 分析判断时出现偏差，认为是存在丢包情况。

该案例之前在《丢包？不要轻易下结论续》有详细解释，有兴趣的可以瞅瞅。

总结

看似简单的 TCP Keep-Alive ，其实也有大学问，不是嘛。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/web/57755.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

关于数学建模的一些介绍

关于数学建模的一些介绍

为了更好了解世界&#xff0c;我们可以通过数学来描述许多特定的现象&#xff0c;而数学模型就是现实世界的理想化&#xff0c;不过它永远不能完全精确地表示现实世界。 在这篇文章中&#xff0c;我将介绍一些数学建模的基本概念以及相应的基础知识&#xff0c;而关于更具体的…
阅读更多...
CSRA的LINUX操作系统24年11月2日下午上课笔记

CSRA的LINUX操作系统24年11月2日下午上课笔记

压缩和解压缩&#xff1a;zip 、gzip、bz、xz # zip 压缩 # 压缩文件夹 # 解压缩 # unzip -v 查看压缩包中的内容 # bzip2 dir1/* :将dir1中的所有文件压缩 # gzip # 压缩文件夹 # 解压缩 tar 归档命令&#xff1a; # 创建tar包 tar -c*f # 释放tar包 tar -xf[c] # c …
阅读更多...
Java JUC（四） 自定义线程池实现与原理分析

Java JUC（四） 自定义线程池实现与原理分析

目录 一. 阻塞队列 BlockingQue 二. 拒绝策略 RejectPolicy 三. 线程池 ThreadPool 四. 模拟运行 在 Java基础&#xff08;二&#xff09; 多线程编程 中&#xff0c;我们简单介绍了线程池 ThreadPoolExecutor 的核心概念与基本使用。在本文中&#xff0c;我们将基于前面学…
阅读更多...
施耐德M310PLC通讯之ModbusTCP（一）

施耐德M310PLC通讯之ModbusTCP（一）

这是另一个专题----施耐德国产化PLC（M310）的通讯篇 本节是ModbusTcp通讯 测试对象： M310plc与M241PLC 通讯协议： ModbusTcp 主站：M310PLC 从站：M241PLC 1.M310端： 1.1 新建工程(M310采用EcoStruxure Motion Expert 软件) 新建工程，这里不区分PLC型号的，只要是M310即…
阅读更多...
电能表预付费系统-标准传输规范(STS)（30）

电能表预付费系统-标准传输规范(STS)（30）

6.5.3.2 CONTROLBlock construction The 1 6 digit CONTROLBlock is constructed from the data elements in the APDU as defined in Table 36 and Table 37.The most significant digit is in position 1 5 and the least significant digit in position 0. APDU中的数据元素…
阅读更多...
Jmeter基础篇（19）JSR223预处理器

Jmeter基础篇（19）JSR223预处理器

前言 JSR223预处理器是Apache JMeter中的一个组件&#xff0c;它允许用户使用任何支持Java Scripting API (JSR 223) 的脚本语言来执行预处理任务。这个功能非常强大&#xff0c;因为它让测试人员能够利用如Groovy、JavaScript&#xff08;Nashorn引擎&#xff09;、BeanShell…
阅读更多...
Python基于TensorFlow实现双向循环神经网络GRU加注意力机制分类模型(BiGRU-Attention分类算法)项目实战

Python基于TensorFlow实现双向循环神经网络GRU加注意力机制分类模型(BiGRU-Attention分类算法)项目实战

说明&#xff1a;这是一个机器学习实战项目&#xff08;附带数据代码文档视频讲解&#xff09;&#xff0c;如需数据代码文档视频讲解可以直接到文章最后关注获取。 1.项目背景 随着深度学习技术的发展&#xff0c;循环神经网络&#xff08;RNN&#xff09;及其变种如门控循环…
阅读更多...
echart实现地图数据可视化

echart实现地图数据可视化

文章目录 [TOC](文章目录) 前言一、基本地图展示2.数据可视化 总结 前言 最近工作安排使用echarts来制作图形报表&#xff0c;记录一下我的步骤&#xff0c;需求呈现一个地图&#xff0c;地图显示标签&#xff0c;根据业务指标值给地图不同省市填充不同颜色&#xff0c;鼠标放…
阅读更多...
数学真题总结

数学真题总结

举反例 看清正负号 对应的特征值一致 不用裁开计算行列式要注意符号&#xff01;&#xff01;&#xff01; 根据值的大小确定正负 没有思路就构建tanx求极值要考虑端点线性方程&#xff1a;求通解归并x几何意义 整体思想 u e^x y都设计好了&#xff0c;曲线是f(x,y) 0,直接把…
阅读更多...
ES跟Kafka集成

ES跟Kafka集成

配合流程 1. Kafka作为分布式流处理平台&#xff0c;能够实时收集和处理不同数据源的数据流&#xff1b; 2. 通过Kafka Connect或者Logstash等中间件&#xff0c;可以将Kafka中的数据流实时推送到Elasticsearch中&#xff1b; 3. Elasticsearch接收到数据后&#xff0c;会根据…
阅读更多...
价格文本对齐

价格文本对齐

记录一下工作里常遇到的一些简单问题&#xff1a; 需求是一个购买按钮上同时展示原价和现价&#xff1a; 1.原价现价文本格式不同 2.原价切需要加打折红线&#xff0c;不方便用富文本一个文本处理。 3.需要对两条文本适配父节点的宽度&#xff0c;不能超出按钮 以下是实现代…
阅读更多...
c++:vector模拟实现

c++:vector模拟实现

一、vector成员变量 库里实现用的就是这三个成员变量&#xff0c;咱们实现跟库里一样&#xff0c; namespace myvector {template<class T>class vector{public://vecttor的迭代器是原生指针typedef T* iterator;typedef const T* const_iterator; private:iterator _sta…
阅读更多...
【热门主题】000023 计算机视觉：算法与应用的深度探索

【热门主题】000023 计算机视觉：算法与应用的深度探索

前言&#xff1a;哈喽&#xff0c;大家好&#xff0c;今天给大家分享一篇文章&#xff01;并提供具体代码帮助大家深入理解&#xff0c;彻底掌握&#xff01;创作不易&#xff0c;如果能帮助到大家或者给大家一些灵感和启发&#xff0c;欢迎收藏关注哦 &#x1f495; 目录 【热…
阅读更多...
国产服务器平台离线部署k8s和kubesphere(含离线部署新方式)

国产服务器平台离线部署k8s和kubesphere(含离线部署新方式)

"信创&#xff1a;鲲鹏麒麟&#xff0c;ARM64架构&#xff0c;实现K8s和Kubesphere的离线部署&#xff0c;全新方式助力企业高效运维。" 本文将深入探讨如何借助鲲鹏CPU(arm64)和操作系统Kylin V10 SP2/SP3,通过KubeKey制作KubeSphere与Kubernetes的离线安装包&#…
阅读更多...
「C/C++」C/C++ 之 指针详解

「C/C++」C/C++ 之 指针详解

✨博客主页何曾参静谧的博客&#x1f4cc;文章专栏「C/C」C/C程序设计&#x1f4da;全部专栏「VS」Visual Studio「C/C」C/C程序设计「UG/NX」BlockUI集合「Win」Windows程序设计「DSA」数据结构与算法「UG/NX」NX二次开发「QT」QT5程序设计「File」数据文件格式「PK」Parasoli…
阅读更多...
CSS--导航栏案例

CSS--导航栏案例

利用CSS制作北大官网导航栏 详细代码如下&#xff1a; <!DOCTYPE html> <html><head><meta charset"utf-8"><title></title><style>*{margin: 0;padding: 0;}#menu{background-color: darkred;width: 100%;height: 50px…
阅读更多...
【语义分割|代码解析】CMTFNet-2: CNN and Multiscale Transformer Fusion Network 用于遥感图像分割！

【语义分割|代码解析】CMTFNet-2: CNN and Multiscale Transformer Fusion Network 用于遥感图像分割！

【语义分割|代码解析】CMTFNet-2: CNN and Multiscale Transformer Fusion Network 用于遥感图像分割&#xff01; 【语义分割|代码解析】CMTFNet-2: CNN and Multiscale Transformer Fusion Network 用于遥感图像分割&#xff01; 文章目录 【语义分割|代码解析】CMTFNet-2: …
阅读更多...
基于 Python 的 Django 框架开发的电影推荐系统

基于 Python 的 Django 框架开发的电影推荐系统

项目简介&#xff1a;本项目是基于 Python 的 Django 框架开发的电影推荐系统&#xff0c;主要功能包括&#xff1a; 电影信息爬取&#xff1a;获取并更新电影数据。数据展示&#xff1a;提供电影数据的列表展示。推荐系统&#xff1a;基于协同过滤算法实现个性化推荐。用户系…
阅读更多...
高并发场景下的性能测试方法！

高并发场景下的性能测试方法！

在现代互联网应用中&#xff0c;高并发场景下的性能测试显得尤为重要。无论是电商平台的秒杀活动&#xff0c;还是社交应用的突发流量&#xff0c;都需要确保系统能够在高并发情况下稳定运行。本文将详细介绍高并发场景下的性能测试方法&#xff0c;并提供具体的方案和实战演练…
阅读更多...
超萌！HTMLCSS：超萌卡通熊猫头

超萌！HTMLCSS：超萌卡通熊猫头

效果演示 创建了一个卡通风格的熊猫头 HTML <div class"box"><div class"head"><div class"head-copy"></div><div class"ears-left"></div><div class"ears-right"></di…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023