tcp - 理解 [TCP ACKed unseen segment] [TCP Previous segment not captured]

Question

我们正在我们的服务器上进行一些负载测试，我正在使用 tshark 将一些数据捕获到 pcap 文件，然后使用 wireshark GUI 通过转到 Analyze -> expert Info 来查看出现了什么错误或警告pcap 载入..

我看到各种我不确定或不完全理解的事情..

在警告下我有:779 TCP 警告:未捕获的 ACKed 段(捕获开始时常见)446 TCP:未捕获前一个段(捕获开始时常见)

一个例子是:40292 0.000 xxx xxx TCP 90 [TCP ACKed unseen segment] [TCP Previous segment not captured] 11210 > 37586 [PSH, ACK] Seq=3812 Ack=28611 Win=768 Len=24 TSval=199317872 TSecr=4506547

我们还通过一个创建命令行数据列的好命令运行了 pcap 文件

命令

tshark -i 1 -w file.pcap -c 500000

基本上只是在 tcp.analysis.lost_segment 列中看到了一些东西，但并不多..\

有大神知道这是怎么回事吗？ tshark 无法跟上写入数据，还有其他问题吗？误报？

Answer 1

这很可能是误报。正如警告消息所说，捕获通常在 tcp session 中间开始。在那些情况下，它没有该信息。如果您真的缺少 ack，那么是时候开始从您的主机向上游寻找它们消失的地方了。 tshark 可能跟不上数据，因此它会丢弃一些指标。在捕获结束时，它会告诉您是否“内核丢弃了数据包”以及有多少。默认情况下，tshark 禁用 dns 查找，而 tcpdump 则不。如果您使用 tcpdump，则需要传入“-n”开关。如果您遇到磁盘 IO 问题，那么您可以执行一些操作，例如写入内存/dev/shm。但要小心，因为如果您的捕获变得非常大，那么您可能会导致您的机器开始交换。

我敢打赌，您有一些运行时间非常长的 tcp session ，当您开始捕获时，您只是因此而丢失了 tcp session 的某些部分。话虽如此，以下是我看到的一些导致重复/丢失确认的事情。

1. 开关 -(不太可能，但有时他们会生病)
2. 路由器 - 比交换机更有可能，但不多
3. 防火墙 - 比路由器更有可能。这里要寻找的是资源耗尽(许可证、cpu 等)
4. 客户端过滤软件 - 防病毒、恶意软件检测等。