Como filtrar os problemas mais comuns com o tcpdump / tshark

Question

Atualmente, estou usando o seguinte comando no Linux para obter informações específicas sobre problemas de rede.

tshark -r file.pcap -q -z io,stat,1,\

"COUNT(tcp.analysis.retransmission) tcp.analysis.retransmission",\

"COUNT(tcp.analysis.duplicate_ack)tcp.analysis.duplicate_ack",\

"COUNT(tcp.analysis.lost_segment) tcp.analysis.lost_segment",\

"COUNT(tcp.analysis.fast_retransmission) tcp.analysis.fast_retransmission"

Isso gera uma boa tabela com muita informação boa. No entanto, gostaria de saber quais outras colunas eu poderia adicionar para obter mais coisas como somas de verificação incorretas e algo que poderia indicar um congestionamento de rede. Quase qualquer coisa necessária para apontar problemas de desempenho.

    

Answer 1

O congestionamento de rede geralmente é bem tratado pelo próprio TCP usando devagar, prevenção de congestionamentos ou algoritmos de restransmissão rápida / recuperação rápida descritos em RFC 2581 . O TCP tentará consertar as coisas antes que ocorra um congestionamento significativo.

Agora, se você estiver em um caso muito particular, poderá adicionar a medida RTT e sua variação, rastrear o tamanho da janela do remetente (cwnd) e rastrear a aparência de sinalizadores CWR e ECE.

PS: O processamento da soma de verificação é comumente descarregado para o driver da NIC, portanto, não será uma boa métrica para monitorar, pois aparecerá quebrado em ferramentas baseadas na libpcap.