Como capturar informações de pacotes retransmitidos com o tcpdump?

Question

A taxa de retransmissão TCP em um host geralmente é um bom indicador de problemas de rede. Como faço para descobrir os IPs de origem e destino para os pacotes que estão sendo retransmitidos?

Para o contexto, em hosts que possuem o sar instalado, é possível ver as taxas de retransmissão da seguinte forma:

sar -n ETCP

10:11:02 AM  atmptf/s  estres/s retrans/s isegerr/s   orsts/s
10:12:01 AM      0.07      1.95      0.08      0.00      1.18
10:13:01 AM      0.07      1.30      0.02      0.00      0.83
10:14:01 AM      0.07      1.40      0.02      0.00      0.85

    

Answer 1

Para encontrar os endereços IP de origem e destino que você pode fazer

tshark -Y "tcp.analysis.retransmission" -Tfields -e ip.src -e ip.dst

(ou use -R em versões mais antigas do 'tshark'), mas isso não lhe dará a "taxa de retransmissão". Eu tenho que dizer que a "taxa de retransmissão" por si só não é uma boa métrica para problemas de rede, a menos que você saiba as razões para as retransmissões. O Wireshark pode ajudar um pouco, mas é necessário algum processamento manual para encontrar a causa raiz, geralmente.