TCP Analysis Flags 之 TCP Previous segment not captured

前言

默认情况下,Wireshark 的 TCP 解析器会跟踪每个 TCP 会话的状态,并在检测到问题或潜在问题时提供额外的信息。在第一次打开捕获文件时,会对每个 TCP 数据包进行一次分析,数据包按照它们在数据包列表中出现的顺序进行处理。可以通过 "Analyze TCP sequence numbers" TCP 解析首选项启用或禁用此功能。

TCP 分析展示

在数据包文件中进行 TCP 分析时,关于 "TCP Previous segment not captured" 一般是如下显示的,包括:

  1. Packet List 窗口中的 Info 信息列,以 [TCP Previous segment not captured] 黑底红字进行标注;
  2. Packet Details 窗口中的 TCP 协议树下,在 [SEQ/ACK analysis] -> [TCP Analysis Flags] 中定义该 TCP 数据包的分析说明。

TCP Previous segment not captured 定义

实际在 TCP 分析中,关于 TCP Previous segment not captured 的定义非常简单:

复制代码
Set when the current sequence number is greater than the next expected sequence number.

具体的代码如下,总的来说是检测 TCP 数据流中是否存在丢失的数据包,并在检测到丢失时设置相应的标志,同时暂时禁用 "BytesInFlight" 计算,以防止产生错误的估计。

关键就是当前数据包的序列号 seq 是否大于同方向之前下一个期望的序列号 nextseq

复制代码
    /* LOST PACKET
     * If this segment is beyond the last seen nextseq we must
     * have missed some previous segment
     *
     * We only check for this if we have actually seen segments prior to this
     * one.
     * RST packets are not checked for this.
     */
    if( tcpd->fwd->tcp_analyze_seq_info->nextseq
    &&  GT_SEQ(seq, tcpd->fwd->tcp_analyze_seq_info->nextseq)
    &&  (flags&(TH_RST))==0 ) {
        if(!tcpd->ta) {
            tcp_analyze_get_acked_struct(pinfo->num, seq, ack, TRUE, tcpd);
        }
        tcpd->ta->flags|=TCP_A_LOST_PACKET;

        /* Disable BiF until an ACK is seen in the other direction */
        tcpd->fwd->valid_bif = 0;
    }

next expected sequence number,为 nextseq,定义为 highest seen nextseq。

Packetdrill 示例

在上述 TCP Previous segment not captured 定义和代码可知,TCP 分析的逻辑很简单,因此通过 packetdrill 比较容易模拟出相关现象。

复制代码
# cat tcp_previous_segment_not_captured.pkt 
0   socket(..., SOCK_STREAM, IPPROTO_TCP) = 3
+0  setsockopt(3, SOL_SOCKET, SO_REUSEADDR, [1], 4) = 0
+0  bind(3, ..., ...) = 0
+0  listen(3, 1) = 0

+0 < S 0:0(0) win 16000 <mss 1460>
+0 > S. 0:0(0) ack 1 <...>
+0.01 < . 1:1(0) ack 1 win 16000

+0 accept(3, ..., ...) = 4
+0 < P. 1:21(20) ack 1 win 15000
+0 < P. 41:61(20) ack 1 win 15000
+0.1 read(4, ..., 12000) = 20 

+0 `sleep 10000000`
# 

通过 tcpdump 捕获数据包后,经 Wireshark 展示如下,可以看到 No.4 和 No.6 中间缺少一个长度为 20 字节的数据分段(Seq 21 NextSeq 41),因此在 No.6 数据包中会判断为 [TCP Previous segment not captured],因为 No.6 Seq 41 > No.4 NextSeq 21。

实例

关于 TCP Previous segment not captured 的实例,实际日常抓包中经常会看到,是比较常见的一种 TCP 分析信息。当然不同的场景,也会伴生着出现像是 TCP Dup ACK TCP Out-Of-Order 等信息。

  1. 乱序

在 No.120 数据包中会判断为 [TCP Previous segment not captured],因为 No.120 Seq 444 > No.119 NextSeq 237,而认为丢失的数据包分段出现在 No.122 ,也就是发生了乱序情况。1-2-3 分段变成了 1-3-2 ,3 会标记成 [TCP Previous segment not captured],而 2 会标记成 [TCP Out-Of-Order]。

  1. 丢包

在 No.777 数据包中会判断为 [TCP Previous segment not captured],因为 No.777 Seq 105005 > No.776 NextSeq 104469,认为丢失了一个数据包分段 Seq 104469-105005,而 No.781 是所丢失数据包分段的超时重传,标记成 [TCP Retransmission]。

总结

一句话定义:Set when the current sequence number is greater than the next expected sequence number.

相关推荐
运维行者_2 分钟前
Azure数据库监控:如何在2025年选择合适的工具
运维·服务器·网络·数据库·flask·自动化·azure
qq19257230271 小时前
网络协议传输层
网络·网络协议
芯盾时代1 小时前
安全大模型智驱网络和数据安全效能跃迁
网络·人工智能·安全·网络安全
玩转4G物联网4 小时前
零基础玩转物联网-串口转以太网模块如何快速实现与MQTT服务器通信
服务器·物联网·网络协议·tcp/ip·信息与通信·iot·fs100p
dalerkd6 小时前
企业产品网络安全日志6月10日-WAF资费消耗排查
网络·安全·web安全
shawn086 小时前
内网有猫和无线路由器,如何做端口映射从而实现外网访问
网络·智能路由器
云布道师7 小时前
云服务运行安全创新标杆:阿里云飞天洛神云网络子系统“齐天”再次斩获奖项
网络·人工智能·安全·阿里云·云计算·云布道师
晴天¥8 小时前
第二部分-IP及子网划分
服务器·网络·tcp/ip
wanhengidc8 小时前
高防服务器中高防和硬防之间的区别
运维·服务器·网络
wanhengidc8 小时前
服务器硬防的应用场景都有哪些?
运维·服务器·网络