Чому WireShark вважає, що цей кадр є сегментом TCP перекомпонованого PDU

Ви можете знайти невеликий файл PCAP тут , який ілюструє мою проблему.

У мене триходове рукостискання TCP, а потім два логотипи FIX. (FIX - це протокол, який використовується в торгівлі.) Перший вхід в систему FIX (кадр 4) інтерпретується та аналізується просто за допомогою WireShark, але другий вхід (кадр 6) інтерпретується як a TCP segment of a reassembled PDU.

Однак кадр 6 не є сегментом TCP повторно зібраного PDU. Він містить повний TCP PDU, який слід інтерпретувати та аналізувати як FIX-вхід. Я перевірив, чи всі порядкові номери, номери ACK, загальна довжина IP тощо.

Чому фрейм 6 інтерпретується як сегмент TCP знову зібраного PDU?

tcp wireshark

— Випадкованіжка
джерело

Чи є проблема, яку ви відчуваєте через це?

— Натан C

Так, я генерую всі ці кадри, і явно щось не так у тому, що я зробив.

— Randomblue

Я настійно пропоную включити до вашого запитання важливі деталі кадрів 4 та 6 (і, можливо, суміжних кадрів). Посилання на файл pcap чудове, але лише невелика частина читачів буде схильна фактично його завантажувати та переглядати.

— Skyhawk

На перший погляд я нічого не можу знайти. Сегмент 4 не фрагментований. Кадр 6 з місця призначення, і ви говорите, що цей кадр 6 слід інтерпретувати як відповідь сервера кадру 4. тобто вхід FIX повинен бути виконаний там. правильно.

— Soham Chakraborty

Якщо хости пронумеровані .76 та .67, це трохи нудно.

Wireshark називає кадр 6 "сегментом TCP знову зібраного PDU", оскільки ваша TCP-реалізація 10.10.10.67 вирішує надіслати ACK без корисного навантаження ("голий" ACK), а не включати корисне навантаження, яке надсилається в кадрі 6 w / ACK у кадрі 5. (Це поведінка, залежне від стека ОС / IP.) Це, в свою чергу, викликає поведінку в діссекторі TCP для передачі корисних навантажень з декількох сегментів TCP у діссектор FIX. З будь-якої причини дисектор FIX не інтерпретує кадр 6.

Якщо вимкнути параметр "Дозволити підсектору розчленовувати потоки TCP" в параметрах дисектора TCP, ви побачите, що Wireshark інтерпретує це по-різному:

Скріншот Wireshark

Ось кілька обговорень із списку користувачів wireshark про те саме .

— Еван Андерсон
джерело