實(shí)驗(yàn)五_使用Wireshark分析TCP協(xié)議

1、實(shí)驗(yàn)五 使用Wireshark分析TCP協(xié)議一、實(shí)驗(yàn)?zāi)康姆治鯰CP協(xié)議二、實(shí)驗(yàn)環(huán)境與因特網(wǎng)連接的計算機(jī)，操作系統(tǒng)為Windows，安裝有Wireshark、IE等軟件。三、實(shí)驗(yàn)步驟1、捕獲一個從你電腦到遠(yuǎn)程服務(wù)器的TCP數(shù)據(jù)打開FTP客戶端，連接1，用”TCP”為過濾條件，捕獲建立連接和斷開連接的數(shù)據(jù)。圖5.1 捕獲的TCP數(shù)據(jù)（1）連接建立：TCP連接通過稱為三次握手的三條報文來建立的。觀察以上數(shù)據(jù)，其中分組10到12顯示的就是三次握手。第一條報文沒有數(shù)據(jù)的TCP報文段（分組10），并將首部SYN位設(shè)置為1。因此，第一條報文常被稱為SYN分組。這個報文段里

2、的序號可以設(shè)置成任何值，表示后續(xù)報文設(shè)定的起始編號。連接不能自動從1開始計數(shù)，選擇一個隨機(jī)數(shù)開始計數(shù)可避免將以前連接的分組錯誤地解釋為當(dāng)前連接的分組。觀察分組10，Wireshark顯示的序號是0。選擇分組首部的序號字段，原始框中顯示“9b 8e d1 f5”。Wireshark顯示的是邏輯序號，真正的初始序號不是0。如圖5.2所示：圖5.2 邏輯序號與實(shí)際初始序號(分組10)SYN分組通常是從客戶端發(fā)送到服務(wù)器。這個報文段請求建立連接。一旦成功建立了連接，服務(wù)器進(jìn)程必須已經(jīng)在監(jiān)聽SYN分組所指示的IP地址和端口號。如果沒有建立連接，SYN分組將不會應(yīng)答。如果第一個分組丟失，客戶端通常會發(fā)送若

3、干SYN分組，否則客戶端將會停止并報告一個錯誤給應(yīng)用程序。如果服務(wù)器進(jìn)程正在監(jiān)聽并接收到來的連接請求，它將以一個報文段進(jìn)行相應(yīng)，這個報文段的SYN位和ACK位都置為1。通常稱這個報文段為SYNACK分組。SYNACK分組在確認(rèn)收到SYN分組的同時發(fā)出一個初始的數(shù)據(jù)流序號給客戶端。圖5.3 邏輯序號與實(shí)際初始序號(分組11)分組11的確認(rèn)號字段在Wireshark的協(xié)議框中顯示1，并且在原始框中的值是“9b 8e d1 f6”（比“9b 8e d1 f5”多1）。這解釋了TCP的確認(rèn)模式。TCP接收端確認(rèn)第X個字節(jié)已經(jīng)收到，并通過設(shè)置確認(rèn)號為X+1來表明期望收到下一個字節(jié)號。分組11的序號字段在

4、Wireshark的協(xié)議顯示為0，但在原始框中的實(shí)際值卻是“f6 74 a5 ea”。這表明TCP連接的雙方會選擇數(shù)據(jù)流中字節(jié)的起始編號。所有初始序號邏輯上都視同為序號0。最后，客戶端發(fā)送帶有標(biāo)志ACK的TCP報文段，而不是帶SYN的報文段來完成三次握手的過程。這個報文段將確認(rèn)服務(wù)器發(fā)送的SYNACK分組，并檢查TCP連接的兩端是否正確打開合運(yùn)行。（2）關(guān)閉連接當(dāng)兩端交換帶有FIN標(biāo)志的TCP報文段并且每一端都確認(rèn)另一端發(fā)送的FIN包時，TCP連接將會關(guān)閉。FIN位字面上的意思是連接一方再也沒有更多新的數(shù)據(jù)發(fā)送。然而，那些重傳的數(shù)據(jù)會被傳送，直到接收端確認(rèn)所有的信息。通過分組43,44和54,

5、55我們可以看到TCP連接被關(guān)閉。圖5.4 TCP連接關(guān)閉2、TCP重傳當(dāng)一個TCP發(fā)送端傳輸一個報文段的同時也設(shè)置了一個重傳計時器。當(dāng)確認(rèn)到達(dá)時，這個計時器就自動取消。如果在數(shù)據(jù)的確認(rèn)信息到達(dá)之前這個計時器超時，那么數(shù)據(jù)就會重傳。重傳計時器能夠自動靈活設(shè)置。最初TCP是基于初始的SYN和SYN ACK之間的時間來設(shè)置重傳計時器的。它基于這個值多次設(shè)置重傳計時器來避免不必要的重傳。在整個TCP連接中，TCP都會注意每個報文段的發(fā)送和接到相應(yīng)的確認(rèn)所經(jīng)歷的時間。TCP在重傳數(shù)據(jù)之前不會總是等待一個重傳計算器超時。TCP也會把一系列重復(fù)確認(rèn)的分組當(dāng)作是數(shù)據(jù)丟失的征兆。（1） SACK選項(xiàng)協(xié)商在上面

6、的每次跟蹤中，我們能觀察建立連接的三次握手。在SYN分組中，發(fā)送端在TCP的首部選項(xiàng)中通過包括SACK permitted選項(xiàng)來希望使用TCPSACK。在SYN ACK包中接收端表示愿意使用SACK。這樣雙方都同意接收選擇性確認(rèn)信息。SACK選項(xiàng)如圖5.5所示：圖5.5 SACK選項(xiàng)在TCP SACK選項(xiàng)中，如果連接的一端接收了失序數(shù)據(jù)，它將使用選項(xiàng)區(qū)字段來發(fā)送關(guān)于失序數(shù)據(jù)起始和結(jié)束的信息。這樣允許發(fā)送端僅僅重傳丟失的數(shù)據(jù)。TCP接收端不能傳遞它們接收到的失序數(shù)據(jù)給處于等待狀態(tài)的應(yīng)用程序，因?yàn)樗偸莻鬟f有序數(shù)據(jù)。因此，接收到的失序數(shù)據(jù)要么被丟掉，要么被存儲起來。接收端的存儲空間是有限的，TCP

7、發(fā)送端必須保存一份已發(fā)送的數(shù)據(jù)的副本，以防止數(shù)據(jù)需要重發(fā)。發(fā)送端必須保存數(shù)據(jù)直到它們收到數(shù)據(jù)的確認(rèn)信息為止。接收端通常會分配一個固定大小的緩沖區(qū)來存儲這些失序數(shù)據(jù)和需要等待一個應(yīng)用程序讀取的數(shù)據(jù)。如果緩沖區(qū)空間不能容納下更多數(shù)據(jù)，那么接收端只有將數(shù)據(jù)丟棄，即使它是成功到達(dá)的。接收端的通知窗口字段用來通知發(fā)送端還有多少空間可以用于輸入數(shù)據(jù)。如果數(shù)據(jù)發(fā)送的速度快于應(yīng)用程序處理數(shù)據(jù)的速度，接收端就會發(fā)送一些信息來告知發(fā)送端其接收窗口正在減小。在這個跟蹤文件中，接收端通知窗口的大小是變化的，從16520個字節(jié)到17520個字節(jié)。TCP發(fā)送端在發(fā)送之前有一個容納數(shù)據(jù)的有限空間。然而，和接收端不同的是，發(fā)

8、送端是限制自己的發(fā)送速率。如果緩沖區(qū)的空間滿了，嘗試寫入更多數(shù)據(jù)的應(yīng)用程序?qū)⒈蛔枞钡接懈嗟目臻g可以利用為止。（2）分組的丟失與重傳用顯示過濾器tcp.analysis.retransmission搜索重傳。圖5.6 TCP的重傳通過觀察分組的序號、確認(rèn)號的變化，研究重傳行為。四、實(shí)驗(yàn)報告內(nèi)容在實(shí)驗(yàn)的基礎(chǔ)上，回答以下問題：1. 客戶服務(wù)器之間用于初始化TCP連接的TCP SYN報文段的序號（sequence number）是多少？在該報文段中，是用什么來標(biāo)識該報文段是SYN報文段的？Sequence number是1Syn set2. 服務(wù)器向客戶端發(fā)送的SYNACK報文段序號是多少？該報文段中，ACKnowledgement字段的值是多少？序號0ACKnowledgeme