TCP Analysis Flags 之 TCP Window Full

前言

默认情况下，Wireshark 的 TCP 解析器会跟踪每个 TCP 会话的状态，并在检测到问题或潜在问题时提供额外的信息。在第一次打开捕获文件时，会对每个 TCP 数据包进行一次分析，数据包按照它们在数据包列表中出现的顺序进行处理。可以通过 “Analyze TCP sequence numbers” TCP 解析首选项启用或禁用此功能。

TCP 分析展示

在数据包文件中进行 TCP 分析时，关于 “TCP Window Full” 一般是如下显示的，包括：

  1. Packet List 窗口中的 Info 信息列，以 [TCP Window Full] 黑底红字进行标注；
  2. Packet Details 窗口中的 TCP 协议树下，在 [SEQ/ACK analysis] -> [TCP Analysis Flags] 中定义该 TCP 数据包的分析说明。

image.png

TCP Window Full 定义

实际在 TCP 分析中，关于 TCP Window Full 的定义非常简单，如下，为本端发送端所发的 TCP 段大小超过对端接收端的接收窗口大小，受到对端接收窗口大小的限制，需注意的是这个标记是在发送端标记，而不是在接收端标记。

Set when the segment size is non-zero, we know the window size in the reverse direction, and our segment size exceeds the window size in the reverse direction.

具体的代码如下，总的来说这段代码的作用是检测 TCP 数据流中的“窗口已满”情况，即当前数据段刚好达到接收端宣告的窗口边界，检测到这种情况时，会设置相应的标志以供后续处理使用。

    /* WINDOW FULL* If we know the window scaling* and if this segment contains data and goes all the way to the* edge of the advertised window* then we mark it as WINDOW FULL* SYN/RST/FIN packets are never WINDOW FULL*/if( seglen>0&&  tcpd->rev->win_scale!=-1&&  (seq+seglen)==(tcpd->rev->tcp_analyze_seq_info->lastack+(tcpd->rev->window<<(tcpd->rev->is_first_ack?0:(tcpd->rev->win_scale==-2?0:tcpd->rev->win_scale))))&&  (flags&(TH_SYN|TH_FIN|TH_RST))==0 ) {if(!tcpd->ta) {tcp_analyze_get_acked_struct(pinfo->num, seq, ack, TRUE, tcpd);}tcpd->ta->flags|=TCP_A_WINDOW_FULL;}
  1. lastack，定义为 Last seen ack for the reverse flow。
  2. 关于 tcpd->rev->is_first_ack，在之后实例中会展开说明。

Packetdrill 示例

在上述 TCP Window Full 定义和代码可知，TCP 分析的逻辑很简单，因此通过 packetdrill 比较容易模拟出相关现象。

# cat tcp_window_full.pkt
0   socket(..., SOCK_STREAM, IPPROTO_TCP) = 3
+0  setsockopt(3, SOL_SOCKET, SO_REUSEADDR, [1], 4) = 0
+0  bind(3, ..., ...) = 0
+0  listen(3, 1) = 0+0 < S 0:0(0) win 1000 <mss 1460>
+0 > S. 0:0(0) ack 1 <...>
+0.01 < . 1:1(0) ack 1 win 1000+0 accept(3, ..., ...) = 4
+.1 write(4, ..., 500) = 500
+0 > P. 1:501(500) ack 1
+0.1 < . 1:1(0) ack 501 win 1000+.1 write(4, ..., 1000) = 1000
+0 > . 501:1001(500) ack 1
+0 > P. 1001:1501(500) ack 1
+0.1 < . 1:1(0) ack 1501 win 1000

通过 tcpdump 捕获数据包后，经 Wireshark 展示如下，可以看到由于客户端 No.5 宣告的 Win 为 1000，所以服务器仅能发送 1000 字节大小的数据分段，也就是分别发送了 No.6 和 No.7 两个 Len 为 500 字节的数据包，这样在 No.7 数据包中会判断为 [TCP Window Full]，因为发送字节大小已经达到了对端也就是客户端宣告的 Win 大小。

image.png

BIF 大小 1000，专家信息标识说明为 TCP window specified by the receiver is now completely full ，接收端窗口满。

image.png

实例

关于 TCP Window Full 的实例，正常来说考虑到接收端接收窗口的释放速度，再加上 Window Scale 的存在，TCP 窗口满现象相对来说并不是那么容易出现。而在不同的场景中，也会伴生着出现像是 TCP Window Update、TCP ZeroWindow、TCP ZeroWindowProbe、TCP ZeroWindowProbeAck 等信息。

  1. 窗口满

可以看到客户端 No.277 宣告的 Win 为 8712，而服务器 No.278 标识为 [TCP Window Full]，是由于在途字节数达到了 8712 字节。

image.png

image.png

而在之后的通讯过程中，由于客户端 Win 降为了 0，在 No.281 也就标识了 [TCP ZeroWindow]，之后由于接收窗口释放变化，又发送了 No.282 Win 为 4356 的 ACK，之后服务器再次发送 No.283 数据分段时又一次标识了 [TCP Window Full]，同样的原因是由于在途字节数达到了 4356 字节。

image.png

该案例中，客户端并不支持 Window Scale ，也就是在 TCP SYN 中未携带该选项。

  1. 窗口满的特例

当 TCP 通讯速率上不去，疑似某端接收窗口满或有问题时，但又没看到明显的 [TCP Window Full] 标识时，请相信自己的判断，真有可能是发生了 TCP 窗口满问题。

看不到 [TCP Window Full] 标识，仅仅是有可能数据包文件或者说这条 TCP 流不完整，并没有抓到 TCP 三次握手的信息，因此后续的数据通讯过程中是无法得知这条流是否支持 Window Scale 以及它的具体数值，没有这些信息的情况下，是没有办法根据数据包中携带的 Win 字段值计算出实际的窗口值，所以也就没法判断什么时候发生了窗口满事件。

如下，就像只会知道接收窗口 250，在不知道 Window Scale 为 4 的情况下，如何能得出计算后的 Win 大小为 1000 ？

image.png
这种情况下，看到的现象就是一端通告的 Win 只是一个小值，但是另一端发送的在途数据又能超过这个值，此时的情况你就可以判断出是因为缺少了 TCP 三次握手。

注意，仅仅是 Wireshark 因为数据包文件不完整无法判断，真实的数据流如果双方均支持 Window Scale，实际的通讯流均是按照各自的缩放因子来计算且发送数据的。

案例也很好模拟出，在上述 packetdrill 示例中把 No.1-3 TCP 三次握手数据包忽略掉即可，如下，No.7 此时已经不再标识 [TCP Window Full]， 虽然对端 No.5 所通告的 Win 为 1000 ，但是 Window size scaling factor: -1（unknown），从 [TCP Window Full] 的代码来说，tcpd->rev->win_scale =-1 已经没有后续判断的依据了，因此 [TCP Window Full] 不再出现。

注意区别 Window size scaling factor: -2 (no window scaling used)，-2 代表着说数据包文件完整，也就是捕获到了 TCP 三次握手，但双方不支持 Window Scale。

image.png

如何知道？有条件的话，复现一次 TCP 连接，重新捕获到 TCP 三次握手即可，不管是 -2 不支持，或者其它的值。然而就算知道了，再通过手动指定 Window Scale 值的方式，也无法让 [TCP Window Full] 再出现 。

  1. 再谈窗口满的特例

这里就要提到之前代码中的 tcpd->rev->is_first_ack ，如下，如果 is_frist_ack 为真，对于 Window 的偏移量也就是 Window Scale ，使用值 0，而不是用 TCP 三次握手中的 Window Scale 值。

tcpd->rev->window<<(tcpd->rev->is_first_ack?0:(tcpd->rev->win_scale==-2?0:tcpd->rev->win_scale))

is_first_ack 具体是在 TCP 三次握手阶段即设置为 True，不管是 SYN 或是 SYN/ACK 数据包，均会设置本方向的 is_first_ack 值为 True 。

    if(tcph->th_flags & TH_SYN) {if(tcph->th_flags & TH_ACK) {expert_add_info_format(pinfo, tf_syn, &ei_tcp_connection_synack,"Connection establish acknowledge (SYN+ACK): server port %u", tcph->th_sport);/* Save the server port to help determine dissector used */tcpd->server_port = tcph->th_sport;}else {expert_add_info_format(pinfo, tf_syn, &ei_tcp_connection_syn,"Connection establish request (SYN): server port %u", tcph->th_dport);/* Save the server port to help determine dissector used */tcpd->server_port = tcph->th_dport;tcpd->ts_mru_syn = pinfo->abs_ts;}/* Remember where the next segment will start. */if (tcp_desegment && tcp_reassemble_out_of_order && tcpd && !PINFO_FD_VISITED(pinfo)) {if (tcpd->fwd->maxnextseq == 0) {tcpd->fwd->maxnextseq = tcph->th_seq + 1;}}/* Initiliaze the is_first_ack */tcpd->fwd->is_first_ack = TRUE;

在以下这个案例中，No.79 判定为 [TCP Window Full]，光从表面现象来看会感觉很奇怪，因为 TCP 三次握手中明显双方均支持 Window Scale，且双方均为很大的一个值 WS 128，而客户端仅仅从 No.70-79 传了 10 个 MSS 1448 的分段后即出现了窗口满现象。No.79 显示为 BIF 14480 大小，和 SYN/ACK 通告的窗口 Win 14480 相等，但没有使用 Window Scale 来相乘计算，即对于 [TCP Window FUll] 的判断，使用的直接是 0 值，而不是 Window Scale 128。

image.png

image.png
这是因为对于客户端 No.79 来说，tcpd->rev->is_first_ack 实际就是服务器端 is_first_ack 的取值，而此时在 rev 方向仅有 No.68 SYN/ACK 数据包，此时 is_first_ack 的值为 True，因此对于 Window 的偏移量也就是 Window Scale ，使用值 0，所以最终判断为 [TCP Window Full] 。

  1. 继续谈窗口满的特例

再说一个案例，服务器端 No.5 判定为 [TCP Window Full]，是因为客户端 No.3 通告的 Win 为 1000，也就是 Win 250 使用了 Window Scale 4 来相乘计算，因此服务器端能发送 No.4 和 No.5 两个 500 字节大小的数据分段，并在 No.5 上标记 [TCP Window Full] 。

image.png

也就是说服务器端在 No.5 数据包分析时，判断 rev 方向 Window Scale 的值是真实值 4 而不是 0 ，这也就意味着此时客户端的 is_first_ack 的值为 False 。而这是在分析客户端 No.3 ACK 数据包时，通过以下代码所实现：

    /** Remember if we have already seen at least one ACK,* then we can neutralize the Window Scale side-effect at the beginning (issue 14690)*/if(tcp_analyze_seq&& (tcph->th_flags & (TH_SYN|TH_ACK)) == TH_ACK) {if(tcpd->fwd->is_first_ack) {tcpd->fwd->is_first_ack = FALSE;}}

总结

总结来说，关于 TCP Window Scale ，有两句话说得很到位：

  1. RFC7323 2.2 The window field in a segment where the SYN bit is set (i.e., a or <SYN,ACK>) MUST NOT be scaled.
  2. The Window Scale option has to be honored and interpreted adequately.

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/393661.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

supermap制作发布二三维地图服务

supermap制作发布二三维地图服务

一、下载安装 软件版本&#xff1a; SuperMap iDesktopX 11i(2023) SP1 for Windows SuperMap iServer 11i(2023) SP1 for Windows 下载地址&#xff1a; http://support.supermap.com.cn/DownloadCenter/ProductPlatform.aspx 二、运行 服务端&#xff1a;双击iserver的…
阅读更多...
C# Unity 面向对象补全计划 设计者模式 之 单例模式

C# Unity 面向对象补全计划 设计者模式 之 单例模式

本文仅作学习笔记与交流&#xff0c;不作任何商业用途&#xff0c;作者能力有限&#xff0c;如有不足还请斧正 本系列作为七大原则和设计模式的进阶知识&#xff0c;看不懂没关系 了解我的专栏C#面向对象与进阶:http://t.csdnimg.cn/mIitr&#xff0c;尤其是关于类的那篇文章即…
阅读更多...
Python（模块---pandas+matplotlib+pyecharts）

Python（模块---pandas+matplotlib+pyecharts）

import pandas as pd import matplotlib.pyplot as plt dfpd.read_excel(简易数据.xlsx) # print(df) plt.rcParams[font.sans-serif][SimHei] #设置画布的大小 plt.figure(figsize(10,6)) labelsdf[电影中文名] ydf[国籍] # print(labels) # print(y)# import pandas as pd im…
阅读更多...
在Stable Diffusion中驱动Tesla P40

在Stable Diffusion中驱动Tesla P40

一、安装P40显卡 在前面我的“在win10电脑上搭建python环境下的本地AI绘画工具Stable Diffusion”博文中&#xff0c;Stable Diffusion的运行完全依赖CPU和内存&#xff0c;因此每生成一次图片&#xff0c;需几小时之多&#xff0c;我常是在临下班时开始生成&#xff0c;到第二…
阅读更多...
Go语言标准库中的双向链表的基本用法

Go语言标准库中的双向链表的基本用法

什么是二分查找区间&#xff1f; 什么是链表&#xff1f; 链表节点的代码实现&#xff1a; 链表的遍历&#xff1a; 链表如何插入元素&#xff1f; go语言标准库的链表&#xff1a; 练习代码&#xff1a; package mainimport ("container/list""fm…
阅读更多...
连接一切：Web3如何重塑物联网的未来

连接一切：Web3如何重塑物联网的未来

传统物联网的挑战 物联网&#xff08;IoT&#xff09;正在迅速改变我们的世界&#xff0c;通过将各种设备连接到互联网&#xff0c;它使得设备能够相互交流&#xff0c;提供智能化的服务和解决方案。然而&#xff0c;随着物联网的迅猛发展&#xff0c;安全性、隐私保护和设备互…
阅读更多...
React 知识点（二）

React 知识点（二）

文章目录 一、React 组件二、React 组件通信 - 父子通信三、React 组件通信 - 子父通信四、React 组件通信 - 兄弟通信五、React 组件通信 - 跨组件通信(祖先)六、结合组件通信案例七、props-children 属性八、props-类型校验九、React 生命周期十、setState 扩展 一、React 组…
阅读更多...
MySQL的简单介绍

MySQL的简单介绍

文章目录 数据库关系型数据库非关系型数据”数据库的概念和用途MySQL数据库服务器、数据库和表的关系数据库的创建和删除表创建表修改常见的数据类型和约束字符串类型日期和时间类型PRIMARY KEY使用AUTO_INCREMENT使用UNIQUE使用FOREIGN KEY使用 SQL语言基础SQL语言简介SQL分类…
阅读更多...
C++入门基础知识

C++入门基础知识

在之前我们学习了C语言和初阶数据结构的相关知识&#xff0c;现在已经有了一定的代码能力和对数据结构也有了基础的认识&#xff0c;接下来我们将进入到新的专题当中&#xff0c;这个专题就是C。在C中我们需要花费更大的精力和更长的时间去学习这门建立在C语言基础之上的计算机…
阅读更多...
图片转为文本图(也叫ASCII艺术图)

图片转为文本图(也叫ASCII艺术图)

效果: 原图: 效果图 …
阅读更多...
接了一个2000块的小活，大家进来看看值不值，附源码

接了一个2000块的小活，大家进来看看值不值，附源码

如题&#xff0c;上周的一天&#xff0c;朋友圈的一个旧友找到了我&#xff0c;说让我帮他开发一个小工具&#xff0c;虽然活不大&#xff0c;但没个几年的全栈经验还不一定能接下来&#xff0c;因为麻雀虽小&#xff0c;涉及的内容可不少&#xff1a; 需求分析 原型设计 详细…
阅读更多...
LSPatch制作内置模块应用软件无需root 教你制作内置应用

LSPatch制作内置模块应用软件无需root 教你制作内置应用

前言 LSPatch功能非常强大&#xff0c;它是一款基于LSPosed核心的免Root Xposed框架软件。这意味着用户无需进行手机root操作&#xff0c;即可轻松植入内置Xposed模块&#xff0c;享受更多定制化的功能和体验&#xff0c;比如微某内置模块版等&#xff0c;这为那些不想root手机…
阅读更多...
vue项目部署在子路径中前端配置

vue项目部署在子路径中前端配置

vue.config.JS router/index.js或者是man.js
阅读更多...
【开发踩坑】windows查看jvm gc信息

【开发踩坑】windows查看jvm gc信息

windows查看jvm gc信息 EZ 找出java进程PID 控制面板----搜索任务管理器---- 任务管理器----搜索 java----详细信息 这里PID是4856 cmd jstat gc面板 reference&#xff1a; jstat命令
阅读更多...
Llama3.1是AI界的Linux？先部署起来再说！

Llama3.1是AI界的Linux？先部署起来再说！

本文简介 前段时间&#xff0c;Meta 发布了 Llama 3.1&#xff0c;这次带来的中杯、大杯和超大杯3个版本。 从纸面数据来看&#xff0c;Llama 3.1 超大杯已经能跟 GPT-4 Omni、Claude 3.5 Sonnet 分庭抗礼了。 而中杯和大杯更是将同量级的对手摁在地上摩擦。 要知道&#xff0…
阅读更多...
常见中间件漏洞（一、Tomcat合集）

常见中间件漏洞（一、Tomcat合集）

目录 一&#xff0e;Tomcat Tomcat介绍 1.1 CVE-2017-12615 影响范围 环境搭建 漏洞复现 1.2 后台弱口令部署war包 漏洞原理 影响版本 环境搭建 1.3 CVE-2020-1938 漏洞原理 影响版本 环境搭建 漏洞复现 一&#xff0e;Tomcat Tomcat介绍 tomcat是一个开源而且…
阅读更多...
Docker 环境下使用 Traefik v3 和 MinIO 快速搭建私有化对象存储服务

Docker 环境下使用 Traefik v3 和 MinIO 快速搭建私有化对象存储服务

上一篇文章中&#xff0c;我们使用 Traefik 新版本完成了本地服务网关的搭建。接下来&#xff0c;来使用 Traefik 的能力&#xff0c;进行一系列相关的基础设施搭建吧。 本篇文章&#xff0c;聊聊 MinIO 的单独使用&#xff0c;以及结合 Traefik 完成私有化 S3 服务的基础搭建…
阅读更多...
Spring Boot集成protobuf快速入门Demo

Spring Boot集成protobuf快速入门Demo

1.什么是protobuf&#xff1f; Protobuf&#xff08;Protocol Buffers&#xff09;是由 Google 开发的一种轻量级、高效的数据交换格式&#xff0c;它被用于结构化数据的序列化、反序列化和传输。相比于 XML 和 JSON 等文本格式&#xff0c;Protobuf 具有更小的数据体积、更快…
阅读更多...
应急响应-主机安全之文件相关命令（Linux操作系统）

应急响应-主机安全之文件相关命令（Linux操作系统）

目录 概述常用命令file-探测给定文件的类型选项常用选项组合 stat-查看文件信息find-不止查找文件选项测试操作常用选项 locate-比find好用的查找命令选项常用选项组合 chmod-修改文件权限suidsbit chown、chgrp 修改文件所有者/所在组umask-显示或设置创建文件的权限掩码常用选…
阅读更多...
大模型备案全网最详细流程说明【附附件】

大模型备案全网最详细流程说明【附附件】

本文要点&#xff1a;大模型备案最详细说明&#xff0c;大模型备案条件有哪些&#xff0c;《算法安全自评估报告》模板&#xff0c;大模型算法备案&#xff0c;大模型上线备案&#xff0c;生成式人工智能(大语言模型)安全评估要点&#xff0c;网信办大模型备案。 大模型备案安…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023