实验5_使用Wireshark分析TCP协议 V1.pdfVIP

实验五 使用Wireshark 分析TCP 协议 一、实验目的 分析TCP 协议 二、实验环境 与因特网连接的计算机，操作系统为Windows ，安装有Wireshark 、IE 等软件。 三、实验步骤 1、TCP 介绍 （1）连接建立： TCP 连接通过称为三次握手的三条报文来建立的。在Wireshark 中选择open-file, 选择文件tcp_pcattcp_n1.cap ，其中分组3 到5 显示的就是三次握手。 第一条报文没有数据的TCP 报文段，并将首部SYN 位设置为 1。因此，第一条报 文常被称为 SYN 分组。这个报文段里的序号可以设置成任何值，表示后续报文设定的 起始编号。连接不能自动从1 开始计数，选择一个随机数开始计数可避免将以前连接的 分组错误地解释为当前连接的分组。观察分组3，Wireshark 显示的序号是0 。选择分组 首部的序号字段，原始框中显示“94 f2 2e be”。Wireshark 显示的是逻辑序号，真正的初 始序号不是0 。如图1 所示： 图１：逻辑序号与实际初始序号 SYN 分组通常是从客户端发送到服务器。这个报文段请求建立连接。一旦成功建立 了连接，服务器进程必须已经在监听SYN 分组所指示的IP 地址和端口号。如果没有建 立连接，SYN 分组将不会应答。如果第一个分组丢失，客户端通常会发送若干SYN 分 组，否则客户端将会停止并报告一个错误给应用程序。 如果服务器进程正在监听并接收到来的连接请求，它将以一个报文段进行相应，这 个报文段的SYN 位和ACK 位都置为1。通常称这个报文段为SYNACK 分组。SYNACK 分组在确认收到SYN 分组的同时发出一个初始的数据流序号给客户端。 分组4 的确认号字段在Wireshark 的协议框中显示1，并且在原始框中的值是“94 f2 2e bf” （比“94 f2 2e be ”多1）。这解释了TCP 的确认模式。TCP 接收端确认第X 个字 节已经收到，并通过设置确认号为X+1 来表明期望收到下一个字节号。分组4 的序号字 段在Wireshark 的协议显示为0，但在原始框中的实际值却是“84 ca be b3”。这表明TCP 连接的双方会选择数据流中字节的起始编号。所有初始序号逻辑上都视同为序号0 。 最后，客户端发送带有标志ACK 的TCP 报文段，而不是带 SYN 的报文段来完成 三次握手的过程。这个报文段将确认服务器发送的SYNACK 分组，并检查TCP 连接的 两端是否正确打开合运行。 （2 ）关闭连接 当两端交换带有FIN 标志的TCP 报文段并且每一端都确认另一端发送的FIN 包时， TCP 连接将会关闭。FIN 位字面上的意思是连接一方再也没有更多新的数据发送。然而， 那些重传的数据会被传送，直到接收端确认所有的信息。在tcp_pcattcp_n1.cap 中，通过 分组13 至16 我们可以看到TCP 连接被关闭。 2 、TCP 重传 当一个 TCP 发送端传输一个报文段的同时也设置了一个重传计时器。当确认到达 时，这个计时器就自动取消。如果在数据的确认信息到达之前这个计时器超时，那么数 据就会重传。 重传计时器能够自动灵活设置。最初TCP 是基于初始的SYN 和SYN ACK 之间的 时间来设置重传计时器的。它基于这个值多次设置重传计时器来避免不必要的重传。在 整个 TCP 连接中，TCP 都会注意每个报文段的发送和接到相应的确认所经历的时间。 TCP 在重传数据之前不会总是等待一个重传计算器超时。TCP 也会把一系列重复确认的 分组当作是数据丢失的征兆。 在Wireshark 中选择file-〉open,打开文件pcattcp_retrans_t.cap 和pcattcp_retrans_r.cap ， 对所俘获的分组进行分析如下： （1） SACK 选项协商 在上面的每次跟踪中，我们能观察建立连接的三次握手。在 SYN 分组中，发送端 在TCP 的首部选项中通过包括SACK permitted 选项来希望使用TCP SACK。在SYN ACK 包中接收端表示愿意使用SACK。这样双方都同意接收选择性确认信息。SACK 选 项如图2 所示： 图2