前言

默認情況下，Wireshark 的 TCP 解析器會跟蹤每個 TCP 會話的狀態(tài)，并在檢測到問題或潛在問題時提供額外的信息。在第一次打開捕獲文件時，會對每個 TCP 數(shù)據(jù)包進行一次分析，數(shù)據(jù)包按照它們在數(shù)據(jù)包列表中出現(xiàn)的順序進行處理。可以通過 “Analyze TCP sequence numbers” TCP 解析首選項啟用或禁用此功能。

TCP 分析展示

在 TCP 分析中和 TCP 零窗口相關(guān)的實際上有三種信息，分別是：TCP ZeroWindow 、TCP ZeroWindowProbe 、TCP ZeroWindowProbeAck 。實際運行環(huán)境中，有時是單獨出現(xiàn)的，譬如 TCP ZeroWindow ，有時是一起出現(xiàn)的，也就是出現(xiàn)了零窗口，之后就會出現(xiàn)需要為恢復(fù)窗口而進行的零窗口探測和零窗口探測確認。

在數(shù)據(jù)包文件中進行 TCP 分析時，關(guān)于 “TCP ZeroWindow” 一般是如下顯示的，包括：

1. Packet List 窗口中的 Info 信息列，以 [TCP ZeroWindow] 黑底紅字進行標(biāo)注；
2. Packet Details 窗口中的 TCP 協(xié)議樹下，在 [SEQ/ACK analysis] -> [TCP Analysis Flags] 中定義該 TCP 數(shù)據(jù)包的分析說明。

TCP ZeroWindow 定義

實際在 TCP 分析中，關(guān)于 TCP ZeroWindow 相關(guān)的定義也相對簡單，當(dāng)接收窗口大小為 0 且 SYN、FIN、RST 均未設(shè)置時設(shè)置， 是接收方發(fā)送，用以通知發(fā)送方暫停發(fā)送數(shù)據(jù)。

Set when the receive window size is zero and none of SYN, FIN, or RST are set.The window field in each TCP header advertises the amount of data a receiver can accept. If the receiver can’t accept any more data it will set the window value to zero, which tells the sender to pause its transmission. In some specific cases this is normal?—?for example, a printer might use a zero window to pause the transmission of a print job while it loads or reverses a sheet of paper. However, in most cases this indicates a performance or capacity problem on the receiving end. It might take a long time (sometimes several minutes) to resume a paused connection, even if the underlying condition that caused the zero window clears up quickly.

具體的代碼如下，總的來說這段代碼是 Wireshark 分析 TCP 流量時處理零窗口通告情況的一個關(guān)鍵部分，有助于正確解析和顯示 TCP 連接的狀態(tài)和控制信息。如果當(dāng)接收窗口大小為 0 和 SYN、FIN、RST 均未設(shè)置這兩個條件同時滿足時，則認為該數(shù)據(jù)包是一個零窗口通告，零窗口通告表示接收方暫時沒有可用緩沖區(qū)來接收數(shù)據(jù)，因此通知發(fā)送方暫停發(fā)送數(shù)據(jù)。

    /* ZERO WINDOW* a zero window packet has window == 0   but none of the SYN/FIN/RST set*/if( window==0&& (flags&(TH_RST|TH_FIN|TH_SYN))==0 ) {if(!tcpd->ta) {tcp_analyze_get_acked_struct(pinfo->num, seq, ack, TRUE, tcpd);}tcpd->ta->flags|=TCP_A_ZERO_WINDOW;}

Packetdrill 示例

根據(jù)上述 TCP ZeroWindow 定義和代碼說明，TCP 分析的邏輯很簡單，因此通過 packetdrill 比較容易模擬出相關(guān)現(xiàn)象。

# cat tcp_zero_window.pkt 
0   socket(..., SOCK_STREAM, IPPROTO_TCP) = 3
+0  setsockopt(3, SOL_SOCKET, SO_REUSEADDR, [1], 4) = 0
+0  bind(3, ..., ...) = 0
+0  listen(3, 1) = 0+0  < S 0:0(0) win 1000 <mss 1460>
+0  > S. 0:0(0) ack 1 <...>
+0.01 < . 1:1(0) ack 1 win 1000
+0 accept(3, ..., ...) = 4+.1 write(4, ..., 1000) = 1000
+0 > P. 1:1001(1000) ack 1
+0.1 < . 1:1(0) ack 1001 win 0
# 

經(jīng) Wireshark 展示如下，No.6 因為 Win 為 0 且未設(shè)置 SYN、FIN、RST 的情況下，標(biāo)識為 [TCP ZeroWindow] 。

實例

關(guān)于 TCP ZeroWindow 的實例，實際日常抓包中并不是經(jīng)常會看到，但如果看到了，則代表著本端接收窗口為 0 ，意味著本端因性能或容量等問題而無法接收數(shù)據(jù)，因此通知發(fā)送方暫停發(fā)送數(shù)據(jù)，如果窗口恢復(fù)時間較長，TCP 傳輸速率自然就下降了，再反復(fù)出現(xiàn)的話，應(yīng)用傳輸就會明顯感覺慢。在不同的場景下，也會伴生著出現(xiàn)像是 TCP Window Update 、TCP ZeroWindowProbe 、TCP ZeroWindowProbeAck 等信息。

1. TCP Window Full + TCP ZeroWindow + TCP Window Update

一種比較常見的零窗口情景，接收端短暫的出現(xiàn) Win 為 0 的情形，緊接著就會釋放窗口，發(fā)出窗口更新的消息。

首先服務(wù)器端發(fā)送數(shù)據(jù)，發(fā)現(xiàn)客戶端接收窗口滿了，則在 No.278 上標(biāo)識 [TCP Window Full] ，此時客戶端 No.281 因為 Win 為 0 且未設(shè)置 SYN、FIN、RST 的情況下，標(biāo)識為 [TCP ZeroWindow]，之后 12ms 緊接著就發(fā)送了 [TCP Window Update] 窗口更新消息，Win 恢復(fù)成 4536，該交互過程并沒有出現(xiàn) [TCP ZeroWindowProbe] 等數(shù)據(jù)包。

2. TCP Window Full + TCP ZeroWindow + TCP ZeroWindowProbe + TCP Window Update

另外一種零窗口情景，接收端出現(xiàn) Win 為 0 的情形，發(fā)送 TCP ZeroWindow 通知，發(fā)送端在經(jīng)過一段時間后發(fā)出 TCP ZeroWindowProbe 數(shù)據(jù)包，但接收端收到探測后，由于已經(jīng)打開窗口，因此直接回復(fù) TCP Window Update 數(shù)據(jù)包。

首先服務(wù)器端 No.10 Win 為 0 且未設(shè)置 SYN、FIN、RST 的情況下，標(biāo)識為 [TCP ZeroWindow]，之后 286ms 客戶端發(fā)送了 No.11 [TCP ZeroWindowProbe] 用于確認服務(wù)器端接收窗口是否恢復(fù)，服務(wù)器緊接著回復(fù)確認 No.12，表示窗口已恢復(fù) Win 1420，標(biāo)識為 [TCP Window Update] 數(shù)據(jù)包。

3. TCP Window Full + TCP ZeroWindow + TCP ZeroWindowProbe + TCP ZeroWindowProbeAck + TCP Window Update

🤣 大滿貫場景，覆蓋了 5 種 TCP 分析標(biāo)志。首先客戶端發(fā)送數(shù)據(jù)，發(fā)現(xiàn)服務(wù)器接收窗口滿了，則在 No.4 和 No.6 上標(biāo)識 [TCP Window Full] ，此時服務(wù)器端 No.7 因為 Win 為 0 且未設(shè)置 SYN、FIN、RST 的情況下，標(biāo)識為 [TCP ZeroWindow]，之后陷入等待，大概 2 秒+后，客戶端發(fā)送了 No.8 [TCP ZeroWindowProbe] 用于確認服務(wù)器端接收窗口是否恢復(fù)，服務(wù)器緊接著回復(fù)確認 No.9，表示仍處于零窗口未恢復(fù)，標(biāo)識為 [TCP ZeroWindowProbeAck] + [TCP ZeroWindow] ，又再過了 300ms 后，服務(wù)器端發(fā)送 No.10 Win 此時更新為 14600，表示接收窗口已恢復(fù)，標(biāo)識成 [TCP Window Update] ，至此完成一次完整的零窗口出現(xiàn)、探測及恢復(fù)過程。

類似的場景同樣如下

總結(jié)

👓 不知道總結(jié)能不能這樣說，正常情況下，有出現(xiàn) TCP Window Full，不一定會有 TCP ZeroWindow，但有 TCP ZeroWindow， 則之前必有 TCP Window Full 。💯