Wireshark抓包实例分析TCP重传

诊断过程:

 

1. 在相应端口开始抓数据。
2. 找到Analyze | Expert Info菜单。
3. 在Notes之下，查找Retransmission。
4. 点击（+）符号即可打开重传列表。鼠标点击各行可在抓包面板看到重传报文。
5. 现在问题来了，怎样定位问题呢？
6. 通过以下方式查看重传来自哪里：

• 在Expert Info窗口一个一个查看报文，在抓包面板查看哪些是重传报文（适合于有经验的用户）
• 在报文面板，配置显示过滤器expert.message == “Retransmission (suspected)”，即可看到抓包文件中所有重传报文
• 应用过滤器，在Statistics & Conversations窗口查看Limit to display filter部分。

 

Case 1：重传至多个目的地址

以下截屏中，可看到有多次重传，分布于多台服务器，目的端口号为80（HTTP）。也可以发现重传由端口10.0.0.5发送，因此报文是丢失在发往Internet的途中，或确认信息没有及时从web服务器发回。

 

问题发生在发往Internet的线路上，怎样知道是什么问题呢？

1. 从Statistics菜单，打开IO Graph。
2. 本例中，可看到链路负载非常低。可能是有故障，或有另一条高负载链路。
3. 可以通过登录到通信设备或SNMP浏览器查看引起重传的原因：报文丢失及错误。参考以下截屏：