實(shí)驗(yàn)五_使用Wireshark分析TCP協(xié)議

1、實(shí)驗(yàn)五 使用Wireshark分析TCP協(xié)議一、實(shí)驗(yàn)?zāi)康姆治鯰CP協(xié)議二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計(jì)算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟1、捕獲一個(gè)從你電腦到遠(yuǎn)程服務(wù)器的TCP數(shù)據(jù)打開FTP客戶端，連接1，用”TCP”為過濾條件，捕獲建立連接和斷開連接的數(shù)據(jù)。圖5.1 捕獲的TCP數(shù)據(jù)（1）連接建立：TCP連接通過稱為三次握手的三條報(bào)文來建立的。觀察以上數(shù)據(jù)，其中分組10到12顯示的就是三次握手。第一條報(bào)文沒有數(shù)據(jù)的TCP報(bào)文段（分組10），并將首部SYN位設(shè)置為1。因此，第一條報(bào)文常被稱為SYN分組。這個(gè)報(bào)文段里

2、的序號(hào)可以設(shè)置成任何值，表示后續(xù)報(bào)文設(shè)定的起始編號(hào)。連接不能自動(dòng)從1開始計(jì)數(shù)，選擇一個(gè)隨機(jī)數(shù)開始計(jì)數(shù)可避免將以前連接的分組錯(cuò)誤地解釋為當(dāng)前連接的分組。觀察分組10，Wireshark顯示的序號(hào)是0。選擇分組首部的序號(hào)字段，原始框中顯示“9b 8e d1 f5”。Wireshark顯示的是邏輯序號(hào)，真正的初始序號(hào)不是0。如圖5.2所示：圖5.2 邏輯序號(hào)與實(shí)際初始序號(hào)(分組10)SYN分組通常是從客戶端發(fā)送到服務(wù)器。這個(gè)報(bào)文段請(qǐng)求建立連接。一旦成功建立了連接，服務(wù)器進(jìn)程必須已經(jīng)在監(jiān)聽SYN分組所指示的IP地址和端口號(hào)。如果沒有建立連接，SYN分組將不會(huì)應(yīng)答。如果第一個(gè)分組丟失，客戶端通常會(huì)發(fā)送若

3、干SYN分組，否則客戶端將會(huì)停止并報(bào)告一個(gè)錯(cuò)誤給應(yīng)用程序。如果服務(wù)器進(jìn)程正在監(jiān)聽并接收到來的連接請(qǐng)求，它將以一個(gè)報(bào)文段進(jìn)行相應(yīng)，這個(gè)報(bào)文段的SYN位和ACK位都置為1。通常稱這個(gè)報(bào)文段為SYNACK分組。SYNACK分組在確認(rèn)收到SYN分組的同時(shí)發(fā)出一個(gè)初始的數(shù)據(jù)流序號(hào)給客戶端。圖5.3 邏輯序號(hào)與實(shí)際初始序號(hào)(分組11)分組11的確認(rèn)號(hào)字段在Wireshark的協(xié)議框中顯示1，并且在原始框中的值是“9b 8e d1 f6”（比“9b 8e d1 f5”多1）。這解釋了TCP的確認(rèn)模式。TCP接收端確認(rèn)第X個(gè)字節(jié)已經(jīng)收到，并通過設(shè)置確認(rèn)號(hào)為X+1來表明期望收到下一個(gè)字節(jié)號(hào)。分組11的序號(hào)字段在

4、Wireshark的協(xié)議顯示為0，但在原始框中的實(shí)際值卻是“f6 74 a5 ea”。這表明TCP連接的雙方會(huì)選擇數(shù)據(jù)流中字節(jié)的起始編號(hào)。所有初始序號(hào)邏輯上都視同為序號(hào)0。最后，客戶端發(fā)送帶有標(biāo)志ACK的TCP報(bào)文段，而不是帶SYN的報(bào)文段來完成三次握手的過程。這個(gè)報(bào)文段將確認(rèn)服務(wù)器發(fā)送的SYNACK分組，并檢查TCP連接的兩端是否正確打開合運(yùn)行。（2）關(guān)閉連接當(dāng)兩端交換帶有FIN標(biāo)志的TCP報(bào)文段并且每一端都確認(rèn)另一端發(fā)送的FIN包時(shí)，TCP連接將會(huì)關(guān)閉。FIN位字面上的意思是連接一方再也沒有更多新的數(shù)據(jù)發(fā)送。然而，那些重傳的數(shù)據(jù)會(huì)被傳送，直到接收端確認(rèn)所有的信息。通過分組43,44和54,

5、55我們可以看到TCP連接被關(guān)閉。圖5.4 TCP連接關(guān)閉2、TCP重傳當(dāng)一個(gè)TCP發(fā)送端傳輸一個(gè)報(bào)文段的同時(shí)也設(shè)置了一個(gè)重傳計(jì)時(shí)器。當(dāng)確認(rèn)到達(dá)時(shí)，這個(gè)計(jì)時(shí)器就自動(dòng)取消。如果在數(shù)據(jù)的確認(rèn)信息到達(dá)之前這個(gè)計(jì)時(shí)器超時(shí)，那么數(shù)據(jù)就會(huì)重傳。重傳計(jì)時(shí)器能夠自動(dòng)靈活設(shè)置。最初TCP是基于初始的SYN和SYN ACK之間的時(shí)間來設(shè)置重傳計(jì)時(shí)器的。它基于這個(gè)值多次設(shè)置重傳計(jì)時(shí)器來避免不必要的重傳。在整個(gè)TCP連接中，TCP都會(huì)注意每個(gè)報(bào)文段的發(fā)送和接到相應(yīng)的確認(rèn)所經(jīng)歷的時(shí)間。TCP在重傳數(shù)據(jù)之前不會(huì)總是等待一個(gè)重傳計(jì)算器超時(shí)。TCP也會(huì)把一系列重復(fù)確認(rèn)的分組當(dāng)作是數(shù)據(jù)丟失的征兆。（1） SACK選項(xiàng)協(xié)商在上面

6、的每次跟蹤中，我們能觀察建立連接的三次握手。在SYN分組中，發(fā)送端在TCP的首部選項(xiàng)中通過包括SACK permitted選項(xiàng)來希望使用TCPSACK。在SYN ACK包中接收端表示愿意使用SACK。這樣雙方都同意接收選擇性確認(rèn)信息。SACK選項(xiàng)如圖5.5所示：圖5.5 SACK選項(xiàng)在TCP SACK選項(xiàng)中，如果連接的一端接收了失序數(shù)據(jù)，它將使用選項(xiàng)區(qū)字段來發(fā)送關(guān)于失序數(shù)據(jù)起始和結(jié)束的信息。這樣允許發(fā)送端僅僅重傳丟失的數(shù)據(jù)。TCP接收端不能傳遞它們接收到的失序數(shù)據(jù)給處于等待狀態(tài)的應(yīng)用程序，因?yàn)樗偸莻鬟f有序數(shù)據(jù)。因此，接收到的失序數(shù)據(jù)要么被丟掉，要么被存儲(chǔ)起來。接收端的存儲(chǔ)空間是有限的，TCP

7、發(fā)送端必須保存一份已發(fā)送的數(shù)據(jù)的副本，以防止數(shù)據(jù)需要重發(fā)。發(fā)送端必須保存數(shù)據(jù)直到它們收到數(shù)據(jù)的確認(rèn)信息為止。接收端通常會(huì)分配一個(gè)固定大小的緩沖區(qū)來存儲(chǔ)這些失序數(shù)據(jù)和需要等待一個(gè)應(yīng)用程序讀取的數(shù)據(jù)。如果緩沖區(qū)空間不能容納下更多數(shù)據(jù)，那么接收端只有將數(shù)據(jù)丟棄，即使它是成功到達(dá)的。接收端的通知窗口字段用來通知發(fā)送端還有多少空間可以用于輸入數(shù)據(jù)。如果數(shù)據(jù)發(fā)送的速度快于應(yīng)用程序處理數(shù)據(jù)的速度，接收端就會(huì)發(fā)送一些信息來告知發(fā)送端其接收窗口正在減小。在這個(gè)跟蹤文件中，接收端通知窗口的大小是變化的，從16520個(gè)字節(jié)到17520個(gè)字節(jié)。TCP發(fā)送端在發(fā)送之前有一個(gè)容納數(shù)據(jù)的有限空間。然而，和接收端不同的是，發(fā)

8、送端是限制自己的發(fā)送速率。如果緩沖區(qū)的空間滿了，嘗試寫入更多數(shù)據(jù)的應(yīng)用程序?qū)⒈蛔枞钡接懈嗟目臻g可以利用為止。（2）分組的丟失與重傳用顯示過濾器tcp.analysis.retransmission搜索重傳。圖5.6 TCP的重傳通過觀察分組的序號(hào)、確認(rèn)號(hào)的變化，研究重傳行為。四、實(shí)驗(yàn)報(bào)告內(nèi)容在實(shí)驗(yàn)的基礎(chǔ)上，回答以下問題：1. 客戶服務(wù)器之間用于初始化TCP連接的TCP SYN報(bào)文段的序號(hào)（sequence number）是多少？在該報(bào)文段中，是用什么來標(biāo)識(shí)該報(bào)文段是SYN報(bào)文段的？Sequence number是1Syn set2. 服務(wù)器向客戶端發(fā)送的SYNACK報(bào)文段序號(hào)是多少？該報(bào)文段中，ACKnowledgement字段的值是多少？序號(hào)0ACKnowledgeme