关于wireshark的Header checksum出问题解决方案

包在wireshark中显示是黑色的，IP层显示错误：Header checksum: 0x0000 [incorrect, should be 0xffff (maybe caused by "IP checksum offload)].

首先解释Checksum offloading：

http://man.lupaworld.com/content/network/wireshark/c7.7.html

检验和计算可能由网络网络驱动，协议驱动，甚至是硬件完成。

例如：以太网传输硬件计算以太网循环容易校验，接受硬件验证这个校验。如果接受验证发现错误，Wireshark将不会接收到这个包，以太网硬件会直接丢弃这个包。

高层校验通常是由协议执行，并将完成后的包转交给硬件。

比较新的网络硬件可以执行一些高级功能，如IP检验和计算，这被成为checksum offloading。网络驱动不会计算校验和，只是简单将校验和字段留空或填入无效信息，交给硬件计算。

checksum offloading经常会导致混乱，因为网络包在检验和计算之前转交给Wireshark。Wireshark得到包的检验和字段是空的，必然会显示检验和错误，尽管这个包在从网络硬件发出的时候是带有校验和的。

Checksum offloading会引起混淆，让你屏幕上看到大量的[invalid]信息，引起你的反感。前面提到过，错误的检验和会导致包无法合并，更难进行包数据分析。

你可以采取两种方法避免Checksum offloading 问题

• 在驱动程序上关闭checksum offloading选项，如果可用的话。

• 通过首选项关闭Wireshark上特定协议的校验和验证。

  
  

  
  

  
  

  关闭wireshark上特定协议的校验和验证方法：edit -> preferences -> protocols -> IPv4 -> validate the IPv4 checksum if possible 把对勾去掉。 这样会让wireshark中原来是黑色的BAD TCP不再显示黑色，但它仍是有问题的。。没有解决本质问题。。这个包的数据长度是0.

  
  

  貌似应该采取第一个方法。这个人也遇到同样问题：http://hi.baidu.com/3w417/item/d31e2f72294a1b46ef1e53ea

  解决方法：

  http://support.microsoft.com/kb/904946/en-us
  

  To work around this problem, turn off checksum offloading on the network adapter. To do this, follow these steps:

  1. Click Start, click Run, type regedit, and then click OK.
  2. Locate and then click the following registry subkey:
     HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
  3. In the right pane, make sure that the DisableTaskOffload registry entry exists. If this entry does not exist, follow these steps to add the entry:
     1. On the Edit menu, point to New, and then click DWORD Value.
     2. Type DisableTaskOffload, and then press ENTER.
  4. Click DisableTaskOffload.
  5. On the Edit menu, click Modify.
  6. Type 1 in the Value data box, and then press ENTER.
  7. Exit Registry Editor.
  记得要重启机子。。