Нужна помощь в понимании захвата из Wireshark?
У меня проблемы с FTP-серверами.
Иногда происходит сбой подключения, отправки и получения, и это не согласованно.
Мне удается захватывать и фильтровать пакеты по IP, мне просто нужны указатели на то, что я могу оттуда делать, поскольку я не совсем понимаю захват.
Вот скриншот
Вот журнал с сервера при сбое
Error: Connection closed by server
Error: Connection timed out
Error: Could not connect to server
Status: Delaying connection for 5 seconds due to previously failed connection attempt...
Status: Connecting to xxx.xxx.xxx.xxx:21...
Status: Connection established, waiting for welcome message...
Error: Connection timed out
Error: Could not connect to server
Status: Delaying connection for 5 seconds due to previously failed connection attempt...
Status: Connecting to xxx.xxx.xxx.xxx:21...
Status: Connection established, waiting for welcome message...
Error: Connection timed out
Error: Could not connect to server
Чтобы правильно понять, что происходит, взгляните на TCP 3-стороннее рукопожатие. Вкратце, это выглядит примерно так:
Client 1 >>>>>>SYN>>>>> Client 2
Client 2 >>SYN ACK>>>>> Client 1
Client 1 >>>>>ACK>>>>>> Client 2
Теперь сеанс установлен, где Client 1 это машина / узел, который инициирует соединение. После создания правильный прекращение соединения - аналогичный обмен
Client 1 >>>>>>FIN>>>>> Client 2
Client 2 >>FIN ACK>>>>> Client 1
Client 1 >>>>>ACK>>>>>> Client 2
Хотя так бывает не всегда. Я также вижу, что связь была RST, вы, наверное, догадались, что это значит. Не уверен, почему ваше соединение случайно сбрасывается, но похоже, что это клиент, который резонирует с RST,ACK но на вашем скриншоте нет RST отправлено сервером. Вы должны сделать это, а затем обновить свой вопрос:
- Отключиться от сервера
- Очистить все журналы wirehark
- Фильтр по IP-адресу сервера
- Начать захват
- Попробуй подключиться
- Остановить захват после сбоя подключения
- Показать только один TCP поток
Добавьте новую картинку. Если это проще, я считаю, что файл PCAP основан на тексте, что означает, что вы можете открыть его в своем любимом текстовом редакторе, выполнить поиск / замену на своих IP-адресах, сохранить его и либо загрузить его сюда, либо ссылку на pastebin или что-то еще .