#wireshark抓包，異常數據分析，常見RST介紹
由於公司做的即時通訊業務，其中IM模塊採用TCP發送數據和控制信令（心跳包）底層採用protobuf傳輸數據，音視頻採用TRP協議，然後給大客戶集團提供私有化部署，由於客戶網絡環境複雜，需具備一定的抓包分析能力。
下面介紹常見的TCP層的常用FLAGS。
| 標誌位 | 描述 |
|---|---|
| SYN | 建立聯機 |
| ACK | 確認 |
| PSH | 有 DATA數據傳輸 |
| FIN | 關閉連接 |
| RST | 連接重置 |
一般地，只是單個的一個SYN，它表示的只是建立連接。當出現SYN和ACK可能同時爲1，我們認爲客戶端與服務器建立了一個連接。而當出現FIN包或RST包時，我們便認爲客戶端與服務器端斷開了連接；而RST一般是在FIN之後纔會出現爲1的情況，表示的是連接重置。
Wireshark 抓包步驟
- 首先根據域
![15551340142522]()
名獲取對應的ip,終端輸入ping 域名
小技巧 也可通過telnet查看端口是否開啓telnet ip 端口
- 打開Wireshark，首頁選擇要抓取的通道（Wi-Fi,網卡等），然後設置過濾規則，點擊右上角箭頭配置過濾規則，或者點擊某一條右鍵選中
Apply as Filter，
ip.src==103.219.186.235 or ip.dst==103.219.186.235
![15551343491708]()
TCP三次握手
-
第一次握手：主機A發送位碼爲syn＝1，隨機產生seq number=1234567的數據包到服務器，主機B由SYN=1知道，A要求建立聯機；
-
第二次握手：主機B收到請求後要確認聯機信息，向A發送ack number=(主機A的seq+1)，syn=1，ack=1，隨機產生seq=7654321的包；
-
第三次握手：主機A收到後檢查ack number是否正確，即第一次發送的seq number+1，以及位碼ack是否爲1，若正確，主機A會再發送ack number=(主機B的seq+1)，ack=1，主機B收到後確認seq值與ack=1則連接建立成功。
![15551349770992]()
-
客戶端發送 SYN 報文 到服務器
![15551356556732]()
-
服務器接收到後 回覆 SYN + ACK 報文
![15551352332976]()
3.客戶端接收到服務端的 SYN+ACK 報文後，回覆 ACK報文
注意：理論上，Syn 應該初始值是個隨機數的，後面的要根據初始值增加 ，wireshark爲了好區分從0開始的，可以自行設置顯示原始Syn
TCP 四次揮手，簡略分析
（1）客戶端A發送一個FIN，用來關閉客戶A到服務器B的數據傳送。
（2）服務器B收到這個FIN，它發回一個ACK，確認序號爲收到的序號加1。和SYN一樣，一個FIN將佔用一個序號。
（3）服務器B關閉與客戶端A的連接，發送一個FIN給客戶端A。
（4）客戶端A發回ACK報文確認，並將確認序號設置爲收到序號加1。
抓包異常數據解讀
1.［TCP Previous segment not captured］丟包
在TCP傳輸過程中，同一臺主機發出的數據段應該是連續的，即後一個包的Seq號等於前一個包的Seq + Len（三次握手和四次揮手是例
外）當後Seq>前Seq +Len，就知道中間缺失了一段數據。
[TCP Out-of-Order]亂序
Wireshark在獲取包序號26時發現seq=18981,而包序號25的數據包seq = 20441,所以wireshark認爲數據包順序錯了
2.TCP Dup ACK x#y
當亂序或者丟包發生時，接收方會收到一些Seq號比期望值大的包。此時就會Ack就說我想獲取seq=28852的數據包而你給了我其他包。
3、TCP Spurious Retransmission 丟包重傳
4、TCP Fast Retransmission 快速重傳
當發送方收到3個或以上[TCP Dup ACK]，就意識到之前發的包可能丟了，於是快速重傳它（這是RFC的規定）。
5、TCP Retransmission超時重傳
如果一個包真的丟了，又沒有後續包可以在接收方觸發[Dup Ack]，就不會快速重傳，只能超時重傳。
6、幾種TCP連接中出現RST的情況
1.端口未打開
服務器程序端口未打開而客戶端來連接。這種情況是最爲常見和好理解的一種了。去telnet一個未打開的TCP的端口可能會出現這種錯誤。
2. 請求超時
查看2次包的時間間隔
3. 服務端關閉的socket
4. 防護牆拒絕了請求
5. 移動鏈路
移動網絡下，國內是有5分鐘後就回收信令，也就是IM產品，如果心跳>5分鐘後服務器再給客戶端發消息，就會收到rst。也要查移動網絡下IM 保持<5min 心跳。
6. 負載等設備
負載設備需要維護連接轉發策略，長時間無流量，連接也會被清除，而且很多都不告訴兩層機器，新的包過來時才通告rst。
Apple push 服務也有這個問題，而且是不可預期的偶發性連接被rst；rst 前第一個消息write 是成功的，而第二條寫纔會告訴你連接被重置，
7. 超過超時重傳次數、網絡暫時不可達
如有疏漏，請指出不勝感激，如有侵權請聯繫刪除.
參考：
https://blog.csdn.net/yuanbinquan/article/details/75434732
https://blog.csdn.net/yuanbinquan/article/details/75454261