Wireshark常見數(shù)據(jù)包的常用指標分析

1、Wireshark常見數(shù)據(jù)包的常用指標分析By 張廣龍2本次講解主要是利用wireshark工具對以下數(shù)據(jù)包的常用指 標分析講解DNS（成功率和時延）DHCP（成功率）TCP（時延、丟包、亂序和重傳）HTTP（網(wǎng)頁成功率和時延）3數(shù)據(jù)包的協(xié)議交互過程:DNS Client DNS ServerDNS Server DNS ClientDNS請求的成功率計算：成功率計算：dns響應(yīng)數(shù)/dns連接數(shù)操作講解：1、 frame.time過濾出指定時間段的DNS報文 frame.time=2014-12-07 19:00:00 and frame.time=2014-12-07 19:00:00 an

2、d frame.time=2014-12-07 19:00:00 and frame.time=2014-12-07 19:00:00 and frame.time=2014-12-07 19:00:00 and frame.time=2014-12-07 19:00:00 and frame.time=2014-12-07 19:20:00 and TCP2、使用wireshark的“Analyze”-“Expert Info”統(tǒng)計warmings信息3、利用上述TCP重傳率計算公式算出TCP的重傳率TCP協(xié)議HTTP協(xié)議HTTP網(wǎng)頁成功率計算： HTTP網(wǎng)頁成功率 sum（http.res

3、ponse.code =2014-12-07 19:00:00 and frame.time=2014-12-07 19:20:00 and http.response2、分別使用wireshark記錄以下響應(yīng)的數(shù)據(jù)包http.response.code = 500http.response.code 400http.response.code = 404http.response.code = 4033、利用上述公式計算出網(wǎng)頁成功率HTTP協(xié)議HTTP時延驗證計算：操作同TCP時延分析，即在原來的基礎(chǔ)上過濾所有HTTP的TCP報文即可Tcp previous segment lost tcp

4、先前的分片丟失Tcp retransmission tcp重傳丟失的部分Tcp acked lost segment tcp應(yīng)答丟失Tcp dup ack Tcp dup ack XXXX#X 則代表了數(shù)據(jù)段丟失TCP狀態(tài)，XXXX代表數(shù)據(jù)丟失的位置，#后代表第幾次丟失Tcp segment of a reassembled PDU主機響應(yīng)一個查詢或者命令時如果要回應(yīng)很多數(shù)據(jù)（信息）而這些數(shù)據(jù)超出了TCP的最大MSS時，主機會通過發(fā)送多個數(shù)據(jù)包來傳送這些數(shù)據(jù)（注意：這些包并未被分片）。對wireshark來說這些對相應(yīng)同一個查詢命令的數(shù)據(jù)包被標記了TCP segment of a reassembled PDU（wireshark如何識別多個數(shù)據(jù)包是對同一個查詢數(shù)據(jù)包的響應(yīng)? wireshark是根據(jù)sequence number來識別，這些數(shù)據(jù)包Ack number是相同的，當然number的數(shù)值與查詢數(shù)據(jù)包中的next sequence number也是一樣的Tcp out-of-order 應(yīng)該有很多原因。但是多半是