别再死记硬背了！用Wireshark抓包实战，彻底搞懂TCP的停止等待与连续ARQ协议

用Wireshark实战解析TCP协议：停止等待与连续ARQ的抓包艺术

当你在浏览器中输入网址按下回车时，屏幕上的内容几乎瞬间呈现——这背后是TCP协议在默默确保每个数据包准确无误地到达。但对于初学者来说，教科书上关于停止等待协议和连续ARQ协议的描述往往停留在抽象的理论层面。本文将带你使用Wireshark这款网络分析利器，通过真实的网络流量捕获，让这些协议从课本上的概念变为可视化的数据流。

1. 准备工作：搭建实验环境

在开始抓包前，需要确保你的实验环境配置正确。推荐使用一台物理机而非虚拟机进行抓包，因为某些虚拟网络接口可能无法捕获完整的TCP握手过程。

基础工具安装清单：

• Wireshark最新稳定版（目前为4.2.3）
• 支持HTTP/1.1的简易web服务器（如Python内置http.server）
• 可控制延迟的网络模拟工具（如tc命令）

提示：在Linux系统下，普通用户运行Wireshark可能无法访问网络接口，需执行sudo setcap 'CAP_NET_RAW+eip CAP_NET_ADMIN+eip' /usr/bin/dumpcap赋予抓包权限

配置测试web服务器的Python命令：

python3 -m http.server 8080 --bind 127.0.0.1

网络延迟模拟示例（添加100ms延迟）：

sudo tc qdisc add dev eth0 root netem delay 100ms

2. 停止等待协议的抓包实证

停止等待协议是TCP可靠传输的基础，其核心是"发送-等待确认"的简单模型。让我们通过Wireshark观察这一过程的具体表现。

2.1 基础通信流程捕获

启动Wireshark捕获本地回环接口（lo）的流量，然后在终端执行：

curl http://127.0.0.1:8080/smallfile.txt

在捕获到的数据包中，你会看到典型的TCP交互序列：

No. Time Source Destination Protocol Length Info 1 0.000000 127.0.0.1 127.0.0.1 TCP 74 49152 → 8080 [SYN] Seq=0 2 0.000023 127.0.0.1 127.0.0.1 TCP 74 8080 → 49152 [SYN, ACK] Seq=0 Ack=1 3 0.000034 127.0.0.1 127.0.0.1 TCP 66 49152 → 8080 [ACK] Seq=1 Ack=1 4 0.000048 127.0.0.1 127.0.0.1 HTTP 147 GET /smallfile.txt HTTP/1.1 5 0.000058 127.0.0.1 127.0.0.1 TCP 66 8080 → 49152 [ACK] Seq=1 Ack=82 6 0.000073 127.0.0.1 127.0.0.1 HTTP 216 HTTP/1.0 200 OK 7 0.000080 127.0.0.1 127.0.0.1 TCP 66 49152 → 8080 [ACK] Seq=82 Ack=151

2.2 关键字段解析

在Wireshark中展开TCP协议详情，重点关注以下字段：

注意：Wireshark默认显示相对序列号，可在"Edit > Preferences > Protocols > TCP"中取消"Relative sequence numbers"以查看绝对序列号

3. 连续ARQ协议的可视化分析

连续ARQ协议通过滑动窗口机制大幅提升了传输效率。让我们模拟一个文件传输场景来观察窗口动态调整的过程。

3.1 大文件传输实验

使用dd命令生成1MB测试文件并传输：

dd if=/dev/zero of=testfile.bin bs=1M count=1 curl http://127.0.0.1:8080/testfile.bin -o /dev/null

在Wireshark中设置过滤条件tcp.port == 8080，观察传输过程中的几个关键现象：

1. 窗口扩张：初始窗口可能为29200字节，随着传输进行会逐渐增大
2. 批量确认：接收方不会对每个数据段单独确认，而是采用累积确认
3. 快速重传：当检测到重复ACK时，发送方会立即重传丢失的段

3.2 滑动窗口动态演示

通过Wireshark的IO Graphs功能可以直观展示窗口变化：

1. 点击"Statistics > I/O Graph"
2. 添加过滤器tcp.analysis.window_update
3. 设置Y轴单位为"TCP window size"

你会看到类似下图的窗口变化曲线：

Window Size (bytes) ^ | /\ | / \ | / \ | / \ |___/ \____> Time

4. 协议异常场景模拟

理论只有在极端情况下才能真正被理解。让我们人为制造一些网络异常，观察协议如何应对。

4.1 模拟ACK丢失

使用iptables随机丢弃10%的ACK包：

sudo iptables -A INPUT -p tcp --tcp-flags ACK ACK -j DROP -m statistic --mode random --probability 0.1

观察到的现象包括：

• 发送方超时重传（Retransmission）
• 重复确认（Duplicate ACK）
• 窗口大小调整

4.2 网络拥塞模拟

添加网络延迟和丢包：

sudo tc qdisc change dev eth0 root netem delay 200ms loss 5%

关键指标变化：

1. 往返时间（RTT）显著增加
2. 重传率上升
3. 窗口大小可能减小到初始值

5. 进阶分析技巧

掌握了基础抓包方法后，下面这些技巧能帮助你更深入地理解协议行为。

5.1 关键过滤表达式

5.2 时间序列分析

通过"Statistics > TCP Stream Graphs > Time-Sequence Graph"可以生成时序图，其中：

• 斜线斜率代表传输速率
• 水平线段表示传输暂停
• 垂直线段表示重传事件

6. 从抓包到协议优化

理解了协议行为后，我们可以基于观察结果进行实际优化。例如，在Linux系统中调整TCP参数：

# 增大初始窗口 echo 10 > /proc/sys/net/ipv4/tcp_initcwnd # 启用快速重传 echo 1 > /proc/sys/net/ipv4/tcp_frto # 调整RTO计算系数 echo 300 > /proc/sys/net/ipv4/tcp_rto_min

这些调整需要结合具体网络环境进行测试验证，而Wireshark就是我们验证效果的最佳工具。