TCP Analysis Flags 之 TCP Out-Of-Order

前言

默认情况下，Wireshark 的 TCP 解析器会跟踪每个 TCP 会话的状态，并在检测到问题或潜在问题时提供额外的信息。在第一次打开捕获文件时，会对每个 TCP 数据包进行一次分析，数据包按照它们在数据包列表中出现的顺序进行处理。可以通过 “Analyze TCP sequence numbers” TCP 解析首选项启用或禁用此功能。

TCP 分析展示

在数据包文件中进行 TCP 分析时，关于 “TCP Out-Of-Order” 一般是如下显示的，包括：

  1. Packet List 窗口中的 Info 信息列，以 [TCP Out-Of-Order] 黑底红字进行标注；
  2. Packet Details 窗口中的 TCP 协议树下，在 [SEQ/ACK analysis] -> [TCP Analysis Flags] 中定义该 TCP 数据包的分析说明。

考虑到 TCP 乱序、重传场景的复杂性，专家信息在乱序的判断上，前面都会有一个(suspected)，表示疑似，说明并不是百分百正确，属于 Warning 级别。

TCP Out-Of-Order 定义

文档中关于 TCP Out-Of-Order 的定义看起来简单，但实际考虑到 TCP 乱序、重传场景的复杂性，在 TCP 分析中对于 TCP Out-Of-Order 是与 TCP Spurious Retransmission、TCP Fast Retransmission、TCP Retransmission 等在一起判断标记乱序或重传类型，而在不少场景还会有判断出错的问题，当然 Wireshark 考虑到这种情况，也有手动修正的选项，这正好也侧面证明了上面的说法，关于 TCP 乱序、重传的复杂性。

TCP Out-Of-Order 的定义如下，当以下所有条件都为真时设置：

  • 不是 Keep-Alive 数据包
  • TCP 段大小大于零或设置了 SYN/FIN
  • 同方向之前下一个期望的 Seq Num 大于当前数据包的 Seq Num
  • 同方向之前下一个期望的 Seq Num 和当前数据包的 Next Seq Num 不同
  • 最后一个报文段到达的时间在乱序 RTT 阈值内。这个阈值可以是两种情况之一：1). 如果在"SEQ/ACK 分析"下存在 “IRTT”（tcp.analysis.initial_rtt）字段，则使用该值作为阈值。2).如果不存在，则使用默认值 3 毫秒作为阈值。

替代 Retransmission。

Set when all of the following are true:This is not a keepalive packet.
In the forward direction, the segment length is greater than zero or the SYN or FIN is set.
The next expected sequence number is greater than the current sequence number.
The next expected sequence number and the next sequence number differ.
The last segment arrived within the Out-Of-Order RTT threshold. The threshold is either the value shown in the “iRTT” (tcp.analysis.initial_rtt) field under “SEQ/ACK analysis” if it is present, or the default value of 3ms if it is not.Supersedes “Retransmission”.

具体的代码如下，总的来说这段代码是 Wireshark 中 TCP 分析模块的一部分，用于检测和标识 TCP 数据包中的各种重传/乱序类型。它的主要功能是根据当前数据包的序列号、长度、标志位以及之前收到的 TCP 数据包的信息，判断当前数据包是否属于重传/乱序，如果是则进一步确定它属于哪种重传/乱序类型。

根据分析 TCP 数据包的各种特征，对重传/乱序数据包进行分类，有助于更好地理解 TCP 连接中的重传/乱序行为，对于诊断网络问题很有帮助。这段代码的主要逻辑如下，如果所有下述条件均满足，则认为该数据包是一个乱序包（详见 case FALSE 部分）。

首先判断：

  • 检查 seq_not_advanced，序列号是否未递增；
  • 检查数据包到达的时间是否在设定的阈值内（IRTT 或 3ms）；
  • 检查数据包之前是否未被看到；

继续判断：

  • 如果同方向之前下一个期望的 Seq Num 不等于当前数据包 Seq Num + Len + 1（SYN|FIN）/0，则标记为乱序；
  • 否则，如果同方向之前 LastACK 的段长度为 0（可能是纯ACK），也标记为乱序，这处理了一系列乱序包被纯 ACK 分隔的情况。
    /* RETRANSMISSION/FAST RETRANSMISSION/OUT-OF-ORDER* If the segment contains data (or is a SYN or a FIN) and* if it does not advance the sequence number, it must be one* of these three.* Only test for this if we know what the seq number should be* (tcpd->fwd->nextseq)** Note that a simple KeepAlive is not a retransmission*/if (seglen>0 || flags&(TH_SYN|TH_FIN)) {gboolean seq_not_advanced = tcpd->fwd->tcp_analyze_seq_info->nextseq&& (LT_SEQ(seq, tcpd->fwd->tcp_analyze_seq_info->nextseq));guint64 t;guint64 ooo_thres;if(tcpd->ta && (tcpd->ta->flags&TCP_A_KEEP_ALIVE) ) {goto finished_checking_retransmission_type;}/* This segment is *not* considered a retransmission/out-of-order if*  the segment length is larger than one (it really adds new data)*  the sequence number is one less than the previous nextseq and*      (the previous segment is possibly a zero window probe)** We should still try to flag Spurious Retransmissions though.*/if (seglen > 1 && tcpd->fwd->tcp_analyze_seq_info->nextseq - 1 == seq) {seq_not_advanced = FALSE;}...nextseq = seq+seglen;gboolean precedence_count = tcp_fastrt_precedence;do {switch(precedence_count) {case TRUE:...case FALSE:/* If the segment came relatively close since the segment with the highest* seen sequence number and it doesn't look like a retransmission* then it is an OUT-OF-ORDER segment.*/t=(pinfo->abs_ts.secs-tcpd->fwd->tcp_analyze_seq_info->nextseqtime.secs)*1000000000;t=t+(pinfo->abs_ts.nsecs)-tcpd->fwd->tcp_analyze_seq_info->nextseqtime.nsecs;if (tcpd->ts_first_rtt.nsecs == 0 && tcpd->ts_first_rtt.secs == 0) {ooo_thres = 3000000;} else {ooo_thres = tcpd->ts_first_rtt.nsecs + tcpd->ts_first_rtt.secs*1000000000;}/* If the segment is already seen and waiting to be acknowledged, ignore the* Fast-Retrans/OOO debate and go ahead, as it only can be an ordinary Retrans.* Fast-Retrans/Retrans are never ambiguous in the context of packets seen but* this code could be moved above.* See Issues 13284, 13843* XXX: if compared packets have different sizes, it's not handled yet*/gboolean pk_already_seen = FALSE;ual = tcpd->fwd->tcp_analyze_seq_info->segments;while(ual) {if(GE_SEQ(seq,ual->seq) && LE_SEQ(seq+seglen,ual->nextseq)) {pk_already_seen = TRUE;break;}ual=ual->next;}if(seq_not_advanced && t < ooo_thres && !pk_already_seen) {/* ordinary OOO with SEQ numbers and lengths clearly stating the situation */if( tcpd->fwd->tcp_analyze_seq_info->nextseq != (seq + seglen + (flags&(TH_SYN|TH_FIN) ? 1 : 0))) {if(!tcpd->ta) {tcp_analyze_get_acked_struct(pinfo->num, seq, ack, TRUE, tcpd);}tcpd->ta->flags|=TCP_A_OUT_OF_ORDER;goto finished_checking_retransmission_type;}else {/* facing an OOO closing a series of disordered packets,all preceded by a pure ACK. See issue 17214 */if(tcpd->fwd->tcp_analyze_seq_info->lastacklen == 0) {if(!tcpd->ta) {tcp_analyze_get_acked_struct(pinfo->num, seq, ack, TRUE, tcpd);}tcpd->ta->flags|=TCP_A_OUT_OF_ORDER;goto finished_checking_retransmission_type;}}}precedence_count=!precedence_count;break;}} while (precedence_count!=tcp_fastrt_precedence) ;...finished_checking_retransmission_type:
  1. next expected sequence number，为 nextseq，定义为 highest seen nextseq。
  2. lastack，定义为 Last seen ack for the reverse flow。
  3. lastacklen，定义为 length of the last fwd ACK packet - 0 means pure ACK。

Packetdrill 示例

根据上述 TCP Out-Of-Order 定义和代码说明，通过 packetdrill 模拟连续传入数据分段，但顺序颠倒了一个，满足乱序的判断条件后，会标记成 TCP 乱序数据包。

# cat tcp_out_of_order_01.pkt 
0   socket(..., SOCK_STREAM, IPPROTO_TCP) = 3
+0  setsockopt(3, SOL_SOCKET, SO_REUSEADDR, [1], 4) = 0
+0  bind(3, ..., ...) = 0
+0  listen(3, 1) = 0+0 < S 0:0(0) win 16000 <mss 1460>
+0 > S. 0:0(0) ack 1 <...>
+0.01 < . 1:1(0) ack 1 win 16000+0 accept(3, ..., ...) = 4
+0 < P. 1:21(20) ack 1 win 15000
+0.001 < P. 41:61(20) ack 1 win 15000
+0.001 < P. 21:41(20) ack 1 win 15000
#

经 Wireshark 展示如下，可以看到满足判断条件后，No.8 标识 [TCP Out-Of-Order] ，是因为客户端发送的数据分段 No.6 Seq Num 41 和 No.4 Next Seq Num 21 之间缺少了一个长度为 20 字节的数据分段，No.6 标识为 [TCP Previous segment not captured] ，而 No.7 标识为 [TCP Dup ACK] ，紧接着之后的 No.8 Seq Num 21 + Len 20 数据包，标识为 [TCP Out-Of-Order]。

在这里再验证下，数据包到达的时间如果不在设定的阈值内，也就是 11ms 大于 IRTT 10ms，是否会被标记成乱序数据包。

# cat tcp_out_of_order_02.pkt 
0   socket(..., SOCK_STREAM, IPPROTO_TCP) = 3
+0  setsockopt(3, SOL_SOCKET, SO_REUSEADDR, [1], 4) = 0
+0  bind(3, ..., ...) = 0
+0  listen(3, 1) = 0+0 < S 0:0(0) win 16000 <mss 1460>
+0 > S. 0:0(0) ack 1 <...>
+0.01 < . 1:1(0) ack 1 win 16000+0 accept(3, ..., ...) = 4
+0 < P. 1:21(20) ack 1 win 15000
+0.001 < P. 41:61(20) ack 1 win 15000
+0.011 < P. 21:41(20) ack 1 win 15000
#

答案是不会，不满足乱序数据包条件，被标记成了重传数据包。

实例

关于 TCP Out-Of-Order 的实例，实际日常抓包中经常会看到，是比较常见的一种 TCP 分析信息，而在各类场景中，也会伴生着出现像是 TCP Dup ACK 、TCP Previous segment not captured 等信息。

  1. 标准 TCP 乱序

标准的 TCP 乱序场景，No.119 和 No.120 中间缺失一个 Seq 237 + Len 207 的数据分段，No.120 首先会提示 [TCP Previous segment not captured]，之后 No.122 Seq 237 + Len 207 的数据包到来，满足乱序数据包的判断条件，标记成 [TCP Out-Of-Order]。

也可以使用 ip.id 加以佐证，如下，No.122 IP ID 15284，实际上是在 No.119 15283 和 No.120 15286 之间，说明就是乱序数据包。

ip.id 辅助的方式非标准实现，多数场景下可用，但不是所有场景都适合。

  1. TCP 乱序（纯 ACK）

代码中描述的一系列乱序包被纯 ACK 分隔的场景，其中 No.13 为纯 ACK，No.15 为乱序的第一个数据包，它满足判断乱序代码中继续判断的第一种场景，nextseq != (seq + seglen)，因此被标记为 [TCP Out-Of-Order]，而 No.19 为乱序的第二个数据包，它满足判断乱序代码中继续判断的第二种场景，lastacklen = 0，因为 No.13 为纯 ACK，所以 No.19 也被标记为 [TCP Out-Of-Order]。

  1. TCP 快速重传还是 TCP 乱序

TCP 快速重传和乱序混淆，这似乎在目前的 Wireshark 版本中是经常可以看到的一种场景，如下案例：

  1. 服务器所发的数据包 No.20 前丢了一个 TCP 分段 Seq 9577 ，所以 No.20 标记为 TCP Previous segment not captured ；
  2. 客户端回应第一个 No.21 DUP ACK 确认还要 Seq 9577 分段（原 ACK 在 No.19）；
  3. 服务器下一个数据包 No.22 仍不是 TCP 分段 Seq 9577；
  4. 因此客户端回应第二个 No.23 DUP ACK 确认继续要 Seq 9577 分段；
  5. 此时服务器像是因为 DUP ACK 的原因触发了快速重传，发送了 No.24 Seq 9577 数据包。

Wireshark 在此判断 No.24 为快速重传感觉确实合情合理，因为包括 DUP ACK >=2 等条件综合判断为真时就会认为是快速重传。但是细细一琢磨，会发现里面有些问题：IRTT，IRTT 为 0.103362s ，说明客户端和服务器端 RTT 约为 103ms，如果捕获点在客户端，No.24 和 No.23 之间的时间差值仅为 71ns。试问从客户端发出 No.23 到服务器收到 No.23 之后触发快速重传，再到客户端所捕获，这个 71ns 的时间完全不符合现实。

此时通过 IP.ID 加以佐证，No.24 的 IP ID 为 49749 ，在 No.20 和 No.22 之前，因此 No.24 实际上是乱序，而不是快速重传。

总结

考虑到数据包会出现乱序、重传等各类不同的场景，产生 TCP Out-Of-Order 的情形自然也是五花八门，具体问题具体分析。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/web/64443.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

＜数据集＞风力发电机损伤识别数据集＜目标检测＞

＜数据集＞风力发电机损伤识别数据集＜目标检测＞

数据集下载链接 &#xff1c;数据集&#xff1e;风力发电机损伤识别数据集&#xff1c;目标检测&#xff1e;https://download.csdn.net/download/qq_53332949/90187097数据集格式&#xff1a;VOCYOLO格式 图片数量&#xff1a;2527张 标注数量(xml文件个数)&#xff1a;252…
阅读更多...
C++ 设计模式：工厂方法（Factory Method）

C++ 设计模式：工厂方法（Factory Method）

链接&#xff1a;C 设计模式 链接&#xff1a;C 设计模式 - 抽象工厂 链接&#xff1a;C 设计模式 - 原型模式 链接&#xff1a;C 设计模式 - 建造者模式 工厂方法&#xff08;Factory Method&#xff09;是创建型设计模式之一&#xff0c;它提供了一种创建对象的接口&#xf…
阅读更多...
分布式版本管理工具——Git关联远程仓库（github+gitee）

分布式版本管理工具——Git关联远程仓库（github+gitee）

Git远程仓库&#xff08;Github&#xff09;的基本使用 一、前言二、Git远程仓库介绍三、演示1. 关联github远程仓库2. 关联gitee&#xff08;码云&#xff09;远程仓库3. 重命名远程仓库名4. 移除远程仓库 四、结束语 一、前言 古之立大事者&#xff0c;不惟有超世之才&#x…
阅读更多...
在 React 项目中安装和配置 Three.js

在 React 项目中安装和配置 Three.js

React 与 Three.js 的结合 &#xff1a;通过 React 管理组件化结构和应用逻辑&#xff0c;利用 Three.js 实现 3D 图形的渲染与交互。使用这种方法&#xff0c;我们可以在保持代码清晰和结构化的同时&#xff0c;实现令人惊叹的 3D 效果。 在本文中&#xff0c;我们将以一个简…
阅读更多...
Lucene 漏洞历险记：修复损坏的索引异常

Lucene 漏洞历险记：修复损坏的索引异常

作者&#xff1a;来自 Elastic Benjamin Trent 有时&#xff0c;一行代码需要几天的时间才能写完。在这里&#xff0c;我们可以看到工程师在多日内调试代码以修复潜在的 Apache Lucene 索引损坏的痛苦。 做好准备 这篇博客与往常不同。它不是对新功能或教程的解释。这是关于花…
阅读更多...
嵌入式硬件面试题

嵌入式硬件面试题

1、请问什么是通孔、盲孔和埋孔&#xff1f;孔径多大可以做机械孔&#xff0c;孔径多小必须做激光孔&#xff1f;请问激光微型孔可以直接打在元件焊盘上吗&#xff0c;为什么&#xff1f; 通孔是贯穿整个PCB的过孔&#xff0c;盲孔是从PCB表层连接到内层的过孔&#xff0c;埋孔…
阅读更多...
基础的基础之 pillow与opencv相比的特点与优缺点比较

基础的基础之 pillow与opencv相比的特点与优缺点比较

Pillow 和 OpenCV 都是人工智能图像处理的必不可少的常用库&#xff0c;但它们有各自的特点和适用场景。 以下是它们的主要特点、优缺点以及适用场景的对比&#xff1a; 1. Pillow&#xff08;Python Imaging Library&#xff09; Pillow 是一个轻量级的图像处理库&#xff0…
阅读更多...
深度学习J6周 ResNeXt-50实战解析

深度学习J6周 ResNeXt-50实战解析

&#x1f368; 本文为&#x1f517;365天深度学习训练营中的学习记录博客&#x1f356; 原作者&#xff1a;K同学啊 本周任务&#xff1a; 1.阅读ResNeXt论文&#xff0c;了解作者的构建思路 2.对比之前介绍的ResNet50V2、DenseNet算法 3.复现ResNeXt-50算法 一、模型结构…
阅读更多...
Langchain Chat Model 和 Chat Prompt Template

Langchain Chat Model 和 Chat Prompt Template

0. 简介 Chat Model 不止是一个用于聊天对话的模型抽象&#xff0c;更重要的是提供了多角色提示能力&#xff08;System,AI,Human,Function)。 Chat Prompt Template 则为开发者提供了便捷维护不同角色的提示模板与消息记录的接口。 1. 构造 ChatPromptTemplate from langch…
阅读更多...
对话 Project Astra 研究主管：打造通用 AI 助理，主动视频交互和全双工对话是未来重点

对话 Project Astra 研究主管：打造通用 AI 助理，主动视频交互和全双工对话是未来重点

Project Astra 愿景之一&#xff1a;「系统不仅能在你说话时做出回应&#xff0c;还能在持续的过程中帮助你。」 近期&#xff0c;Google DeepMind 的 YouTube 频道采访了 Google DeepMind 研究主管格雷格韦恩 (Greg Wayne)。 格雷格韦恩的研究工作为 DeepMind 的诸多突破性成…
阅读更多...
全国青少年信息学奥林匹克竞赛（信奥赛）备考实战之循环结构（for循环语句）（四）

全国青少年信息学奥林匹克竞赛（信奥赛）备考实战之循环结构（for循环语句）（四）

实战训练1—最大差值 问题描述&#xff1a; 输入n个非负整数&#xff0c;找出这个n整数的最大值与最小值&#xff0c;并求最大值和最小值的差值。 输入格式&#xff1a; 共两行&#xff0c;第一行为整数的个数 n&#xff08;1≤n≤1000)。第二行为n个整数的值&#xff08;整…
阅读更多...
纯Dart Flutter库适配HarmonyOS

纯Dart Flutter库适配HarmonyOS

纯Dart Flutter库适配HarmonyOS介绍&#xff1a; Flutter基本组件、Flutter布局组件、Flutter图片组件、Flutter字体、Flutter图标、Fluter路由、flutter动画、 Flutter表单、flutter异步等&#xff0c;纯Dart库无需任何处理&#xff0c;可以直接编译成HarmonyOs应用。 具体步…
阅读更多...
LunarVim安装

LunarVim安装

LunarVim以其丰富的功能和灵活的定制性&#xff0c;迅速在Nvim用户中流行开来。它不仅提供了一套完善的默认配置&#xff0c;还允许用户根据自己的需求进行深度定制。无论是自动补全、内置终端、文件浏览器&#xff0c;还是模糊查找、LSP支持、代码检测、格式化和调试&#xff…
阅读更多...
剑指Offer|LCR 015. 找到字符串中所有字母异位词

剑指Offer|LCR 015. 找到字符串中所有字母异位词

LCR 015. 找到字符串中所有字母异位词 给定两个字符串 s 和 p&#xff0c;找到 s 中所有 p 的 变位词 的子串&#xff0c;返回这些子串的起始索引。不考虑答案输出的顺序。 变位词 指字母相同&#xff0c;但排列不同的字符串。 示例 1&#xff1a; 输入: s "cbaebaba…
阅读更多...
高质量 Next.js 后台管理模板源码分享，开发者必备

高质量 Next.js 后台管理模板源码分享，开发者必备

高质量 Next.js后台管理模板源码分享&#xff0c;开发者必备 Taplox 是一个基于 Bootstrap 5 和 Next.js 构建的现代化后台管理模板和 UI 组件库。它不仅设计精美&#xff0c;还提供了一整套易用的工具&#xff0c;适合各种 Web 应用、管理系统和仪表盘项目。无论你是初学者还是…
阅读更多...
开发场景中Java 集合的最佳选择

开发场景中Java 集合的最佳选择

在 Java 开发中&#xff0c;集合类是处理数据的核心工具。合理选择集合&#xff0c;不仅可以提高代码效率&#xff0c;还能让代码更简洁。本篇文章将重点探讨 List、Set 和 Map 的适用场景及优缺点&#xff0c;帮助你在实际开发中找到最佳解决方案。 一、List&#xff1a;有序存…
阅读更多...
Java包装类型的缓存

Java包装类型的缓存

Java 基本数据类型的包装类型的大部分都用到了缓存机制来提升性能。 Byte,Short,Integer,Long 这 4 种包装类默认创建了数值 [-128&#xff0c;127] 的相应类型的缓存数据&#xff0c;Character 创建了数值在 [0,127] 范围的缓存数据&#xff0c;Boolean 直接返回 True or Fal…
阅读更多...
工程师 - MinGW

工程师 - MinGW

MinGW Minimalist GNU for Windows&#xff0c;前身为mingw32&#xff0c;是一个免费开源的软件开发环境&#xff0c;从2010年开始项目停止并不再使用。后续提供MinGW-w64。 MinGW包括: - 移植到Windows上的GNU编译器集&#xff08;GCC&#xff09;&#xff0c;包括C、C、ADA和…
阅读更多...
EasyExcel（读取操作和填充操作）

EasyExcel（读取操作和填充操作）

文章目录 1.准备Read.xlsx&#xff08;具有两个sheet&#xff09;2.读取第一个sheet中的数据1.模板2.方法3.结果 3.读取所有sheet中的数据1.模板2.方法3.结果 EasyExcel填充1.简单填充1.准备 Fill01.xlsx2.无模版3.方法4.结果 2.列表填充1.准备 Fill02.xlsx2.模板3.方法4.结果 …
阅读更多...
CKA认证 | Day7 K8s存储

CKA认证 | Day7 K8s存储

第七章 Kubernetes存储 1、数据卷与数据持久卷 为什么需要数据卷&#xff1f; 容器中的文件在磁盘上是临时存放的&#xff0c;这给容器中运行比较重要的应用程序带来一些问题。 问题1&#xff1a;当容器升级或者崩溃时&#xff0c;kubelet会重建容器&#xff0c;容器内文件会…
阅读更多...
最新文章

Copyright @ 2022~2023