wireshark如何将某些数据包标记为“重组pdu的tcp段”

Question

我在wireshark中打开了一个pcap，它显示了很多数据包为“重组pdu的tcp段”。 wireshark如何确定哪些tcp数据包是重组pdu的片段？我无法找到任何头文件字段或wireshark可以确定的任何其他内容。

任何帮助将不胜感激。谢谢 ！！！

Answer 1

序号是帮助重组的领域。假设你有数据字节1-300发送。

例如，他们被分成3个大小为100的片段，每个片段大小为，即第一个（1-100字节数），第二个（101-200）和第三个（201-300）。现在，即使他们收到了故障，序列号也不会改变。因此，在重新组装数据时，您会知道数据包的原始顺序，因此wireshark可以显示组合的数据包。

如果SYN标志清零（0），那么这是当前会话此数据包的第一个数据字节的累积序列号。

TCP

请记住，这是从IP分段和重组不同。 IP头有字段来指定是否有片段，如果是，那么当前数据包的片段号是多少。