histogram - 使用wireshark或其他工具绘制RTT直方图

Question

我有一个小型办公网络，我遇到了巨大的互联网链接延迟。我们有一个简单的网络拓扑结构:一台计算机配置为运行 ubuntu 服务器 10.10 的路由器，2 个网卡(一个连接互联网，另一个连接办公网络)和一个连接 20 台计算机的交换机。我在路由器上收集了一个巨大的 tcpdump 日志，我想绘制一个 RTT 时间为 的直方图。全部 TCP 流尝试找出此延迟问题的最佳解决方案。那么，有人可以告诉我如何使用wireshark或其他工具来做到这一点吗？

Answer 1

Wireshark 或 tshark 可以使用 为您提供每个收到的 ACK 数据包的 TCP RTT tcp.analysis.ack_rtt 它测量捕获 TCP 数据包和该数据包的 ACK 之间的时间增量。

您需要小心这一点，因为您的大部分 ACK 数据包都是 来自 您的办公室机器从 Internet 接收到 ACK 数据包，因此您将测量路由器看到来自 Internet 的数据包和从您的办公室机器看到 ACK 之间的 RTT。

要测量您的 Internet RTT，您需要从 Internet 查找 ACKS(从您的网络发送的 ACKing 数据)。假设您的办公室机器的 IP 地址为 192.168.1.x，并且您已将所有数据记录在路由器的 LAN 端口上，您可以使用如下所示的显示过滤器:

tcp.analysis.ack_rtt and ip.dst==192.168.1.255/24

要将 RTT 转储到 .csv 进行分析，您可以像这样使用 tshark 命令；
tshark -r router.pcap -Y "tcp.analysis.ack_rtt and ip.dst==192.168.1.255/24" -e tcp.analysis.ack_rtt -T fields -E separator=, -E quote=d > rtt.csv

-r 选项告诉 tshark 从您的 .pcap 文件中读取

-Y 选项指定要使用的显示过滤器(不推荐使用 -R 没有 -2)

-e 选项指定要输出的字段

-T 选项指定输出格式

在运行此命令之前，您可以使用 mergecap 实用程序将所有 pcap 文件合并为一个文件。将此输出转换为直方图应该很容易!