TCP segment of a reassembled PDU

转自：

今天利用windows查找功能对网络上的一个共享文件夹里的内容 进行查找，发现查找网络文件时流量巨大。好奇用wireshark抓包发现 wireshark Info栏里有很多“TCP segment of a reassembled PDU”提示信息。不解百度了一下发现大家都在询问这个问题网上并没有很好的解答。想到“TCP segment of a reassembled PDU”只是wireshark的提示信息，那么在sniffer pro里会给出什么样的提示呢，用sniffer打开同样的trace 发现里面提示“Continuation of missing frame”和"Continuation of frame xx"现在大概知道“TCP segment of a reassembled PDU”是什么意思，其实主机响应一个查询或者命令时如果要回应很多数据（信息）而这些数据超出了TCP的最大MSS时，主机会通过发送多个数据包来传送 这些数据（注意：这些包并未被分片）。对wireshark来说这些对相应同一个查询命令的数据包被标记了“TCP segment of a reassembled PDU”

问题，wireshark如何识别多个数据包是对同一个查询数据包的响应? wireshark是根据sequence number来识别，这些数据包ACK number是相同的，当然number的数值与查询数据包中的next sequence number也是一样的。 但这句话并不完全正确（根据ACK相同来确认该包是对同一个查询的应答），如，服务端可以在发完应答后，主动发数据，那么主动发的数据也是相同的ACK。

总的来说:

此处PDU是指上层（如HTTP）的Protocol Data Unit，意指上层协议的一个协议段太长，无法放入单个TCP数据包。如果你在wireshark中禁用相关上层协议分析，就不会显示这个东西了。

注意：

TCP层分段，在wireshark中提示为 ：TCP segment of a reassembled PDU

IP层分片，在wireshark中提示为：Fragmented IP protocol