用Wireshark实战解析TCP协议：停止等待与连续ARQ的抓包艺术
当你在浏览器中输入网址按下回车时，屏幕上的内容几乎瞬间呈现——这背后是TCP协议在默默确保每个数据包准确无误地到达。但对于初学者来说，教科书上关于停止等待协议和连续ARQ协议的描述往往停留在抽象的理论层面。本文将带你使用Wireshark这款网络分析利器，通过真实的网络流量捕获，让这些协议从课本上的概念变为可视化的数据流。
1. 准备工作：搭建实验环境
在开始抓包前，需要确保你的实验环境配置正确。推荐使用一台物理机而非虚拟机进行抓包，因为某些虚拟网络接口可能无法捕获完整的TCP握手过程。
基础工具安装清单：
- Wireshark最新稳定版（目前为4.2.3）
- 支持HTTP/1.1的简易web服务器（如Python内置
http.server） - 可控制延迟的网络模拟工具（如
tc命令）
提示：在Linux系统下，普通用户运行Wireshark可能无法访问网络接口，需执行
sudo setcap 'CAP_NET_RAW+eip CAP_NET_ADMIN+eip' /usr/bin/dumpcap赋予抓包权限
配置测试web服务器的Python命令：
python3 -m http.server 8080 --bind 127.0.0.1网络延迟模拟示例（添加100ms延迟）：
sudo tc qdisc add dev eth0 root netem delay 100ms2. 停止等待协议的抓包实证
停止等待协议是TCP可靠传输的基础，其核心是"发送-等待确认"的简单模型。让我们通过Wireshark观察这一过程的具体表现。
2.1 基础通信流程捕获
启动Wireshark捕获本地回环接口（lo）的流量，然后在终端执行：
curl http://127.0.0.1:8080/smallfile.txt在捕获到的数据包中，你会看到典型的TCP交互序列：
No. Time Source Destination Protocol Length Info 1 0.000000 127.0.0.1 127.0.0.1 TCP 74 49152 → 8080 [SYN] Seq=0 2 0.000023 127.0.0.1 127.0.0.1 TCP 74 8080 → 49152 [SYN, ACK] Seq=0 Ack=1 3 0.000034 127.0.0.1 127.0.0.1 TCP 66 49152 → 8080 [ACK] Seq=1 Ack=1 4 0.000048 127.0.0.1 127.0.0.1 HTTP 147 GET /smallfile.txt HTTP/1.1 5 0.000058 127.0.0.1 127.0.0.1 TCP 66 8080 → 49152 [ACK] Seq=1 Ack=82 6 0.000073 127.0.0.1 127.0.0.1 HTTP 216 HTTP/1.0 200 OK 7 0.000080 127.0.0.1 127.0.0.1 TCP 66 49152 → 8080 [ACK] Seq=82 Ack=1512.2 关键字段解析
在Wireshark中展开TCP协议详情，重点关注以下字段：
| 字段名 | 示例值 | 作用说明 |
|---|---|---|
| Sequence number | 0 | 当前报文段的起始字节序号 |
| Acknowledgment number | 1 | 期望收到的下一个字节序号 |
| Window size | 65495 | 接收方当前可用缓冲区大小 |
| Flags | ACK | 控制标志位组合 |
注意：Wireshark默认显示相对序列号，可在"Edit > Preferences > Protocols > TCP"中取消"Relative sequence numbers"以查看绝对序列号
3. 连续ARQ协议的可视化分析
连续ARQ协议通过滑动窗口机制大幅提升了传输效率。让我们模拟一个文件传输场景来观察窗口动态调整的过程。
3.1 大文件传输实验
使用dd命令生成1MB测试文件并传输：
dd if=/dev/zero of=testfile.bin bs=1M count=1 curl http://127.0.0.1:8080/testfile.bin -o /dev/null在Wireshark中设置过滤条件tcp.port == 8080，观察传输过程中的几个关键现象：
- 窗口扩张：初始窗口可能为29200字节，随着传输进行会逐渐增大
- 批量确认：接收方不会对每个数据段单独确认，而是采用累积确认
- 快速重传：当检测到重复ACK时，发送方会立即重传丢失的段
3.2 滑动窗口动态演示
通过Wireshark的IO Graphs功能可以直观展示窗口变化：
- 点击"Statistics > I/O Graph"
- 添加过滤器
tcp.analysis.window_update - 设置Y轴单位为"TCP window size"
你会看到类似下图的窗口变化曲线：
Window Size (bytes) ^ | /\ | / \ | / \ | / \ |___/ \____> Time4. 协议异常场景模拟
理论只有在极端情况下才能真正被理解。让我们人为制造一些网络异常，观察协议如何应对。
4.1 模拟ACK丢失
使用iptables随机丢弃10%的ACK包：
sudo iptables -A INPUT -p tcp --tcp-flags ACK ACK -j DROP -m statistic --mode random --probability 0.1观察到的现象包括：
- 发送方超时重传（Retransmission）
- 重复确认（Duplicate ACK）
- 窗口大小调整
4.2 网络拥塞模拟
添加网络延迟和丢包：
sudo tc qdisc change dev eth0 root netem delay 200ms loss 5%关键指标变化：
- 往返时间（RTT）显著增加
- 重传率上升
- 窗口大小可能减小到初始值
5. 进阶分析技巧
掌握了基础抓包方法后，下面这些技巧能帮助你更深入地理解协议行为。
5.1 关键过滤表达式
| Wireshark过滤器 | 用途说明 |
|---|---|
tcp.analysis.retransmission | 显示所有重传包 |
tcp.analysis.zero_window | 检测接收方窗口耗尽情况 |
tcp.analysis.window_full | 发送方窗口填满事件 |
tcp.analysis.duplicate_ack | 重复ACK分析 |
5.2 时间序列分析
通过"Statistics > TCP Stream Graphs > Time-Sequence Graph"可以生成时序图，其中：
- 斜线斜率代表传输速率
- 水平线段表示传输暂停
- 垂直线段表示重传事件
6. 从抓包到协议优化
理解了协议行为后，我们可以基于观察结果进行实际优化。例如，在Linux系统中调整TCP参数：
# 增大初始窗口 echo 10 > /proc/sys/net/ipv4/tcp_initcwnd # 启用快速重传 echo 1 > /proc/sys/net/ipv4/tcp_frto # 调整RTO计算系数 echo 300 > /proc/sys/net/ipv4/tcp_rto_min这些调整需要结合具体网络环境进行测试验证，而Wireshark就是我们验证效果的最佳工具。
