網路基本功（二十四）：Wireshark抓包例項分析TCP重傳

介紹

TCP傳送一個或一組報文，會等待收到報文的確認資訊。重傳，即發生在報文沒有到達或確認資訊沒有及時返回的情況下。當發現網速變慢時，原因之一可能就是重傳。發生重傳的原因有多種，在客戶機或伺服器兩邊埠應用Wireshark有助於診斷問題。本文通過抓包例項闡述各種可能性。

更多資訊

診斷過程:

1. 在相應埠開始抓資料。
2. 找到Analyze | Expert Info選單。
3. 在Notes之下，查詢Retransmission。
4. 點選（+）符號即可開啟重傳列表。滑鼠點選各行可在抓包面板看到重傳報文。
5. 現在問題來了，怎樣定位問題呢？
6. 通過以下方式檢視重傳來自哪裡：

• 在Expert Info視窗一個一個檢視報文，在抓包面板檢視哪些是重傳報文（適合於有經驗的使用者）
• 在報文面板，配置顯示過濾器expert.message == “Retransmission (suspected)”，即可看到抓包檔案中所有重傳報文
• 應用過濾器，在Statistics & Conversations視窗檢視Limit to display filter部分。

Case 1：重傳至多個目的地址

以下截圖中，可看到有多次重傳，分佈於多臺伺服器，目的埠號為80（HTTP）。也可以發現重傳由埠10.0.0.5傳送，因此報文是丟失在發往Internet的途中，或確認資訊沒有及時從web伺服器發回。

問題發生在發往Internet的線路上，怎樣知道是什麼問題呢？

1. 從Statistics選單，開啟IO Graph。
2. 本例中，可看到鏈路負載非常低。可能是有故障，或有另一條高負載鏈路。
3. 可以通過登入到通訊裝置或SNMP瀏覽器檢視引起重傳的原因：報文丟失及錯誤。參考以下截圖：

Case 2：重傳至單一連線

如果所有重傳發生於同一IP，同一TCP埠號，則可能是慢速應用引起。看以下截圖：

對於單一連線的重傳，進行以下操作：

1. 從Statistics選單開啟Conversations，選擇Limit to display filter，可以看到所有發生重傳的會話，本情況下，是一個單一會話。
2. 如下圖所示，通過選擇IPv4
   標籤可看到從哪個IP地址重傳：
   

   3.  如下圖所示，通過選擇TCP標籤看到重傳來自哪一埠：

要定位問題，進行以下步驟：

1. 檢視IO graph，確保鏈路不忙。（鏈路忙的表徵例如流量接近頻寬。例如，頻寬為10Mbps，在IO graph中看見流量接近10Mbps，這就表明鏈路負載較高。不忙的鏈路IO會有很多高低起落，峰值以及空閒間隙）。
2. 如果鏈路不忙，則可能是伺服器對於IP地址10.1.1.200有問題（10.90.30.12傳送了絕大多數重傳，所以可能是10.1.1.200響應較慢）
3. 從報文面板可以看出應用是FTP資料。有可能FTP伺服器工作於active模式。因此在埠2350開啟連線，伺服器將埠更改為1972，所以可能是慢速FTP軟體響應問題引起的重傳。

Case 3：重傳模式

觀察TCP重傳的一個重要考量是是否能看出一些重傳模式。在以下截圖中，可以看見所有重傳來自單一連線，位於客戶端與伺服器的NetBIOS會話服務（TCP埠139）。

看起來像一個簡單的伺服器/客戶端問題，但檢視抓包面板，如下圖所示：

可以看見重傳總是週期性的每30ms發生一次。問題是由於客戶端在軟體中執行了財務程序，導致軟體每30-36ms就減速一次。

Case 4：應用無響應導致重傳

另一個可能導致重傳的原因是客戶端或伺服器沒有響應請求。這種情況下，會看到五次重傳，時間也會逐漸延長。五次連續重傳後，傳送方認為連線斷開（某些情況下，會發送reset來關閉連線，取決於軟體實施）。斷開連線之後，可能會發生兩件事情：

• 傳送SYN請求至客戶端，以開啟一個新的連線。這種情況下使用者會看到應用凍結，過了15-20秒之後重新開始工作。
• 不傳送SYN，使用者需要重新執行應用程式（或應用程式的一部分）

下圖顯示了開啟新連線的情況：

Case 5：由於延時變化導致重傳

TCP能夠充分容忍延時，前提是延時大小不發生變化。當延時改變時，就會發生重傳。診斷是否由該原因引起的方法：

1. 第一件事是ping目的地址，並且得到檢查通訊鏈路延時的第一條資訊。
2. 檢查延時變數，可能由以下原因引起：

• 由於不穩定或繁忙通訊鏈路引起。這種情況下，可以看到ping命令的延時變化，通常由於頻寬較窄。
• 由於應用過載或資源不足，這種情況下，只有該應用發生很多重傳。
• 通訊裝置過載（CPU,快取）引起延時。檢查方式直接連線通訊裝置。

   3.  使用Wireshark工具診斷延時問題。

如果重傳達到0.5個百分比，效能就會下降，斷開連線將會達到5個百分比。這取決於應用及其對於重傳的敏感性。

定位重傳問題

當你看到通訊鏈路上發生重傳，進行以下步驟：

1. 定位問題——是一個特定IP地址，特定連線，特定應用，還是其他問題。
2. 檢視問題是否由於通訊鏈路，丟包，慢速伺服器還是PC。檢視應用是否慢速。
3. 如果不是由於上述原因，檢查延時變化。

工作原理:

TCP序列號/確認機制詳見前文：網路基本功（十）：細說TCP確認機制 。那麼重傳是由什麼原因引起呢？當報文確認資訊丟失，或ACK沒有及時到達，傳送方會進行以下兩步操作：

1. 再次傳送報文
2. 減少吞吐量。

以下圖中展示了重傳減少傳送方吞吐量（紅色細線）：

參考

Network Analysis Using Wireshark Cookbook