WireShark 抓包问题集

0、在windows 上运行时，要以管理员身份启动程序，不然会出现：

和

的问题。

1、实体机与虚拟机之间抓包问题

在主机和虚拟机之间进行抓包联系，虚拟机的网卡设置为网桥模式，复制物理网络连接状态。

发现每一个包都会重复，原因在于虚拟机使用是和物理机一样的同一块物理网卡，所以不同于两天实体机之间，相当于每个包在发送端和接收端都被抓取到，在我的机器上前后相差的时间在3 * 10 -6s 之内。

对于重复的包，WireShark 有的标记为重传，有的标记为乱序。其实这两种标记的区别不大。

Retransmitted vs. Out of Order packets

需要注意的是 TCP 的累积确认机制：

1）、A端 发送包中的Ack值，表示凡 B端 发送Seq <=Ack 的数据包 A端 都接收到。2）、Ack 值用来表示 A端 希望 B端 发送的下一个数据包的 Seq 值不小于Ack。3）、为了节省带宽，Ack 通常伴随着数据一起发送：当然也有单纯 len == 0 的 Ack 包。

https://ask.wireshark.org/questions/51741/retransmitted-vs-out-of-order-packets

对于多次发送一个相同内容的数据包wireshark解剖器的处理：如果是没有收到确认再次发送，则标记为重传。如果已经收到确认，但是数据包也发送出来了，此时标记为Out of Order packets。

https://blog.packet-foo.com/2014/08/tcp-expert-updates-in-wireshark-1-12/

这里的解释：是通过RTT 即一次往返时间来计算的，时间超过这个表示重传，时间小于这个表示out of order。

简单来说，实际上TCP是两个端口之间的通信。所以在显示过滤里边，可以过滤掉两个端口之外的其他所有的数据包。

在包详情里，选中特定的字段，鼠标右键，Prepare a filter 便可以按照该字段的值来进行过滤。

得到一个 ip.len == 30 的显示过滤条件。

2、数据包接力说明

本机访问互联网，局域网内通过 MAC 地址来标识，arp 协议用来通过在局域网内用 IP 地址查询 MAC 地址。本机 IP 192.168.1.101，MAC 地址 3c-46-d8-d6-36-7f(Tp-link的无线网卡)，访问的 ip 60.160.81.18 在外网，需要通过网关。这个网关在无线路由器上，所以数据包中的目的 MAC 为30-fc-68-4f-b0-54. 从无线网卡传输到无线路由器，完成第一跳，到无线路由器之后，源 MAC 被改成无线路由器的 MAC，目的 MAC 被改成 下一跳的 MAC , 同时存活跳数：TTL 减 1，变成127. TTL 用来防止数据包被无尽的传递。