如何在 Wireshark 中识别重传的 TCP 段？

Question

我很难在 Wireshark 捕获的数据段中识别重传的 TCP 数据段。 Wireshark 中是否有注释显示某个段是重传的？

Answer 1

为了让 wireshark 将一个段识别为重传段，它必须识别 pcap 文件中的两个数据包（原始数据包和重传数据包）。

例如，如果您嗅探某个数据包的接收端点，您可能只会看到重新传输的实例（如 有时 ，尽管并非总是如此，但由于数据包未到达目的地，因此会发生重传）。在那种情况下，wireshark 只会看到数据包的一个实例，并且不会知道它已被重新传输。

如果 pcap 文件中确实有两个数据包（例如，对于上面的示例，但嗅探数据包的来源），wireshark 将识别它。

wireshark 标记 TCP 重传的方式因 WS 版本而异，但在后来的版本中，它通常默认为黑色（无论如何，您总是可以在 TCP 下的“专家信息”字段中看到）。