Khi mình dùng ethereal phân tích các stream của giao thức HTTP thì có 1 thắc mắc, khi webserver gửi packet ACK kèm data về cho client thì các packet đó ở 2 dạng (theo ethereal mô tả) :

+ 1 là packet có cột info là "Continuation or non-HTTP Traffic", ở dạng nảy ethereal hiểu packet này là HTTP protocol, phần data chính là HTTP data

+ 2 là packet có cột info là "[TCP Segment of a reassembled PDU]", ở dạng này, ethereal chỉ hiểu packet là TCP packet nhưng phần TCP data segment cũng chính là HTTP data như dạng thứ nhất

Vậy 2 dạng này giống và khác nhau như thế nào ? Và tại sao ethereal lại có sự phân biệt như thế ? Ai bít xin giải thích rõ giúp mình với

Thanx :wink:  

vietwow wrote:

Khi mình dùng ethereal phân tích các stream của giao thức HTTP thì có 1 thắc mắc, khi webserver gửi packet ACK kèm data về cho client thì các packet đó ở 2 dạng (theo ethereal mô tả) :

+ 1 là packet có cột info là "Continuation or non-HTTP Traffic", ở dạng nảy ethereal hiểu packet này là HTTP protocol, phần data chính là HTTP data

+ 2 là packet có cột info là "[TCP Segment of a reassembled PDU]", ở dạng này, ethereal chỉ hiểu packet là TCP packet nhưng phần TCP data segment cũng chính là HTTP data như dạng thứ nhất

Vậy 2 dạng này giống và khác nhau như thế nào ? Và tại sao ethereal lại có sự phân biệt như thế ? Ai bít xin giải thích rõ giúp mình với

Thanx :wink:  

1. là các gói tin tiếp tục đi vào vì mỗi MTU chỉ có giới hạn bao nhiêu byte đó thôi. Cái này bình thường.

2. là gói tin bị fragmented nhưng các segment của gói tin bị mất, bị error, hay sự cố gì đó mà nó không gộp lại các mảnh để tạo thành 1 gói hoàn chỉnh nên phải nhận lại và "reassemble" lại.

Thân mến. 

Cám ơn anh đã giải thích nhưng cái thứ 2 anh giải thích em nhưng hiểu lắm vì theo em bít module TCP kiểm soát cơ chế truyền packet rất chặt chẽ dựa vào thông tin "thoả thuận" trong 3 bước bắt tay ban đầu với nhau như MSS, Windows Size nên chuyện gói tín TCP bị phân mảnh là rất hiếm xảy ra, mà gói tin "[TCP Segment of a reassembled PDU]" thì em lại thấy thườn xuyên khi sniff các gói tin của HTTP stream.
Thứ 2 là anh nói "các segment của gói tin bị mất, bị error, hay sự cố gì đó mà nó không gộp lại các mảnh để tạo thành 1 gói hoàn chỉnh". Theo em biết thì bất cứ 1 gói tin nào bị phân mảnh thì khi đến đích nó sẽ được "reassemble" thôi chứ chức năng "reasseamble" đâu phải để ráp các gói tin bị lỗi đâu anh ? Với lại khi 1 gói tin bị mất thì module TCP phát hiện sự "mất mát" packet dựa vào số ACK và thực hiện cơ chế retransmission. Chứ nếu nó đã mất thì làm sao "reassemble" lại được :?  

Ok, vậy ý anh có phải là trường hợp "[TCP Segment of a reassembled PDU]" xảy ra khi các gói tin đến ko đúng thứ tự và máy đích phải reassemble ? Vì trong các TH khác, nếu gói tin bị mất thì TCP truyền lại dựa vào ACK, nếu gói tin bị lỗi (mất byte hoặc các byte bị thay đổi) => checksum sai => drop rồi còn đâu  

Theo em nghĩ như thế này, các segment bị phân mảnh được gửi từ A -> B, nếu bên B chưa nhận đủ các segment (thiếu 1 gói nào đó) thì nó sẽ chờ 1 khoảng thởi gian time-out, hết time-out nó coi như gói tin bị "thất lạc" và nó yêu cầu bên A gửi lại hoặc trường hợp 1 gói tin đến nhưng bên B tính sai checksum sai => drop và cũng yêu cầu bên B gửi lại, cứ như vậy cho đến khi nào bên B nhận đủ các segment đầy đủ thì nó reassemble lại. Ko bít em hiểu như vậy có chính xác ko nhỉ )

À mà, nếu anh nói trường hợp "[TCP Segment of a reassembled PDU]" xảy ra khi các gói tin bị lỗi hoặc bi mất thì khi em vừa lập tức khảo sát 1 TH thực tế thấy hơi kỳ, anh down thử file .cap này nha : http://203.171.31.150/~vietwow/tcpsegment.cap
 

Em sniff 1 stream http, và gần như quá trính truyền nhận chỉ có các gói ACK , GET và TCP Segment of a reassembled PDU. Chẳng lẽ nguyên quá trình truyền nhận, gói nào cũng bị lỗi hết hả anh ? :?

Cám ơn anh đã tận tình chỉ bảo :wink:
 

Hix, anh nói em mới để ý, em xem lại các stream lúc trước em phân tích cũng vậy, tất cả gói tin đi từ máy em đều có checksum incorrect, sao lại kỳ thế nhỉ, do ethereal hay do máy em nhỉ :?)
 

À mà cái em hiểu hồi nãy có đúng ko anh ? có phải khi bên nhận tính checksum lại thấy incorrect thì nó drop gói tin và yêu cầu gởi lại gói đó đúng ko anh ? 

Em nghĩ chỉ có thể do máy em thôi, vì mô hình nhà mạng chi là máy tính --> router ADSL --> ISP. Ko hề có firewall nào cả, mà cho dù có qua thiết bị nào cũng vậy. Vì đây ethereal hoạt động dựa vào winpcap mà cái này là module đặt ngay dưới lớp cuối cùng (data link), đây lại là gói tin phun từ máy em ra, do đó gói packet từ máy em vừa qua interface là đã bị nó "chộp" lên rồi => đâu có bị tác động của các thiết bị khác đâu anh Nếu là gói tin trả về thì nó mới bị tác động 

vietwow wrote:

Em nghĩ chỉ có thể do máy em thôi, vì mô hình nhà mạng chi là máy tính --> router ADSL --> ISP. Ko hề có firewall nào cả, mà cho dù có qua thiết bị nào cũng vậy. Vì đây ethereal hoạt động dựa vào winpcap mà cái này là module đặt ngay dưới lớp cuối cùng (data link), đây lại là gói tin phun từ máy em ra, do đó gói packet từ máy em vừa qua interface là đã bị nó "chộp" lên rồi => đâu có bị tác động của các thiết bị khác đâu anh Nếu là gói tin trả về thì nó mới bị tác động 

Thế còn gói tin trả về máy em từ trang web thì sao? 

Khi mình dùng ethereal phân tích các stream của giao thức HTTP thì có 1 thắc mắc, khi webserver gửi packet ACK kèm data về cho client thì các packet đó ở 2 dạng (theo ethereal mô tả) :

+ 1 là packet có cột info là "Continuation or non-HTTP Traffic", ở dạng nảy ethereal hiểu packet này là HTTP protocol, phần data chính là HTTP data

+ 2 là packet có cột info là "[TCP Segment of a reassembled PDU]", ở dạng này, ethereal chỉ hiểu packet là TCP packet nhưng phần TCP data segment cũng chính là HTTP data như dạng thứ nhất

Vậy 2 dạng này giống và khác nhau như thế nào ? Và tại sao ethereal lại có sự phân biệt như thế ? Ai bít xin giải thích rõ giúp mình với

Thanx :wink:  

Checksum: 0xffb9 [incorrect, should be 0x2f09 (maybe caused by "TCP checksum offload"?)]
        [Good Checksum: False]
        [Bad Checksum: True]

@quanta: digging expert
OK. Khi bạn enable offload checksum, wireshark sẽ chỉ thấy TCP packet với incorrect checksum (vì chúng chưa được calculated). Như vậy wireshark sẽ không cố gắng intepret payload đằng sau TCP header nữa mà coi payload đó đơn giản là một data stream. Thêm vào đó, vì một trong các port là 80 (HTTP), nên status của packet trở thành "Continuation or non-HTTP Traffic".

Khi bạn disable offload checksum, wireshark sẽ thấy TCP packet với correct checksum (vì chúng đã được calculated bởi OS). Câu hỏi là tại sao wireshark có thể phân biệt giữa một TCP segment và một fragment của segment khi mà checksum của cả hai đều correct.

Câu trả lời nằm ở chỗ OS handle TCP segment như thế nào trước khi nó được gửi đi:

- ở tầng transport, data stream được đóng gói vào TCP segment, cũng giống như chúng ta đóng đồ vào thùng hàng trước khi gửi đi.
- Thường thì chúng ta đợi đóng đầy thùng rồi mới gửi đi (cho tiết kiệm). OS cũng vậy, nó thường đợi data stream đến khi một TCP segment được filled đầy rồi mới gửi đi.
- Vậy nếu data stream chỉ có đến vậy mà không fill đầy một segment thì chẳng lẽ OS cứ đợi mãi? Không, cứ mỗi khi application thực hiện một send (write) syscall, thì syscall này sẽ làm nhiệm vụ fill segment, và đến khi nó không còn data nữa thì nó sẽ bắt OS đóng gói TCP và gửi đi.
- Nếu data stream nhiều hơn một TCP segment, thì một segment sẽ bị filled đầy trước khi data stream kết thúc, dẫn đến việc OS tiến hành đóng gói và gửi segment đó đi mà không cần application phải nhắc nhở. Việc nhắc nhở chỉ xuất hiện sau khi toàn bộ data stream đã kết thúc.
- Để thể hiện sự nhắc nhở này, OS set PUSH flag trong TCP option của segment cuối trong data stream. Còn các segments trước đó của cùng một data stream thì có PUSH flag unset.

Như vậy, wireshark nhận biết sự khác nhau giữa một TCP segment hoàn chỉnh và một fragmented segment qua PUSH flag.

Trust that helps. 

TCP có segmentation không nhỉ. Cứ nghĩ chỉ có IP là có fragmentation. Nếu vậy, hai field để xách định fragmentation sẽ là: MF (more fragment bit) và Fragmentation offset.

1. Nếu MF == 0, Frag. offset == 0: Đây là một gói IP hoàn chỉnh (hoặc là một TCP segment nằm trong một gói IP hoàn chỉnh)
2. Nếu MF == 1, Frag. offset == 0: Đây là segment đầu tiên của một IP packet.
3. Nếu MF == 0, Frag. offset != 0: Đây là segment cuối cùng của một IP packet.
4. Nếu MF == 1, Frag. offset != 0: Đây là một segment nào đó ở khoản giữa của một IP packet (đã bị segment).

Mỗi gói IP có một TCP segment nằm bên trong, nên mới có vụ "TCP Segment of a reassembled PDU".
 

Còn thông tin về phần Continuation or Non-HTTP traffic thì wireshark chỉ hiển thị khi HTTP traffic (trên port 80) ở dạng binary thay vì toàn là text (hình ảnh, phim, applet, flast vân vân). Mình thử chạy HTTPS trên port 80 thì hình như cũng có thông báo tương tự.