网络抓包

wireshark 中的乱序 和 重传 有什么区别 首先参看看但发现不完全一样 ：https://www.cnblogs.com/strick/p/6262284.html

tcp的命令 sudo tcpdump -i eth0 -nn -tt -s 2048 -X host <ipaddress> and port 9999 -w tmp3.pcap   #注意该命令 是收集 本机发送到9999端口 ， 和 对端机 9999 端口发回来的数据。   

sudo tc qd add/del dev eth0 root netem loss 10%  #tc命令可以模拟网络问题 ，但只能模拟 那台机器的发送方 ，也就是可以造成 那台机器 一些发送包丢失。  在对端收集机器的上的tcpdump 将无法看到这些丢失的包.  eth0 为网卡 ，一般可以将所有网卡都设置上 或者 设计 bond0

1.outOfOrder 比较好理解 ，一般 time since previous frame 和 RTO 的时间都非常短 ，接收方 应答多次 相同的ack 伴随sack ，发送方看到多次相同ack 后，不等retransmission timer 直接重传

 

2.retransmission 显著的就是RTO时间比较久  下面的几次 都是相对于 seq 92195被收到后的重传，每次举例92195的RTO都在0.2以上 ，被认为是普通重传

 

 

——————————————————————

总结：
确认号：ack
在握手和结束时确认号应该是对方序列号加1,传输数据时则是对方序列号加上对方携带应用层数据的长度，如果对方携带应用层数据长度为0，则ack与对方序列号相同，不要+1，比如25的ack与24的seq相同。也可以这样理解，因为24没有发送数据，所以A期待B下次发送过来的第一个字节的序号不变，因此25的ack与23的ack相同。
序列号：
在握手和结束时序列号应该是上次序列号+1，传输数据时则是上次的序列号加上上次应用层数据发送长度，如果数据长度为0，则seq与上次一样，不要+1，比如26的seq和24的seq相同。

阶段分为 3次握手 传输数据 4次分手 三个阶段。 上文提到的规则。 如果是跨阶段的第一条消息， ack 和 序列号 跟上面那个阶段走

retrans的案例解释 参考 https://serverfault.com/questions/669460/how-to-determine-client-side-or-server-side-retransmission-from-a-pcap?noredirect=1&lq=1  

——————————————

 重传1s + 2s + 4s+ 8s+ 16s + 32s  （2的幂次）

eg两次重传和超时