协议速查：你要知道的所有TCP协议的一切----实战篇
一、正常TCP报文解析：
3)大块报文后分解成段后发出去（TCP segment of a reassembled PDU） Wireshark可以把属于同一个应用层的PDU的TCP包虚拟地集中起来。 TCP层收到上层大块报文后分解成段后发出去，主机响应一个查询或者命令时如果要回应很多数据（信息）而这些数据超出了TCP的最大MSS时， 主机会通过发送多个数据包来传送这些数据（注意：这些包并未被分片）。 每个数据包的Protocol Length都是1502 Byte，这是因为以太网帧的封包格式为：Frame = Ethernet Header + IP Header + TCP Header + TCP Segment Data。即： 1、Ethernet Header = 14 Byte = Dst Physical Address（6 Byte）+ Src Physical Address（6 Byte）+ Type（2 Byte），以太网帧头以下称之为数据帧。 2、IP Header = 20 Byte（without options field），数据在IP层称为Datagram，分片称为Fragment。 3、TCP Header = 20 Byte（without options field），数据在TCP层称为Stream，分段称为Segment（UDP中称为Message）。 4、TCP Segment Data = 1448 Byte（从下图可见）。 所以，每个数据包的Protocol Length = 14 Byte + 20 Byte + 20 Byte + 1448 Byte = 1502 Byte。
收到一个报文后如何确定它是一个"TCP segment"？如果有几个报文的ACK序号都一样，并且这些报文的Sequence Number都不一样，并且后一个Sequence Number为前一个 Sequence Number加上前一个报文大小再加上1的话，肯定是TCP segment了，对于没有ACK标志时，则无法判断。
二、异常TCP报文解析：
1）Packet size limited during capture 说明被标记的那个包没有抓全。一般是由抓包方式引起，有些操作系统中默认只抓每个帧的前96个字节。 4号包全长171字节，但只有96字节被抓到。
2）TCP Previous segment not captured 如果Wireshark发现后一个包的Seq大于前一个包的Seq+Len，就知道中间缺失了一段。 如果缺失的那段在整个网络包中找不到（排除了乱序），就会提示。 6号包（Server-->Client）的Seq是1449，大于5号包（Server-->Client）的Seq+Len=1+0=1，说明中间有个1448字节的包没被抓到，就是“Seq=1,Len=1448”的Psh包丢失了。
3）TCP ACKed unseen segment 当Wireshark发现被Ack的那个包没被抓到，就会提示。 32号包（Server-->Client）的Seq+Len=6889+1448=8337，说明下一个响应包（Client-->Server）正确的Ack=8337 而我们看到的是34号包的Ack=11233，意味着8337~11232这段数据没抓到。
4）TCP Out-of-Order 当Wireshark发现同一个方向（Server-->Client）后一个包的Seq号小于前一个包的Seq+Len时，就会认为乱序，发出提示。 3362号包的Seq小于3360包的Seq，所以就是乱序。
5）TCP Dup ACK 当乱序或丢包发生时，接收方会收到一些Seq号比期望值大的包。每收到一个这种包就会Ack一次期望的Seq值，提醒发送方。 7号包期望的下一个Seq=30763，但8号包Seq=32223，说明Seq=30763包丢失，9号包发了Ack=30763，表示“我要的是Seq=30763”。 10号、12号、14号也都是大于30763的，因此每收到一个，就回复一次Ack。
6）TCP Fast Retransmission 当发送方收到3个或以上的【TCP Dup ACK】，就意识到之前发的包可能丢了，于是快速重传它。
7）TCP Retransmission 如果一个包真的丢了，又没有后续包可以在接收方触发【Dup Ack】就不会快速重传； 这种情况下发送方只好等到超时了再重传； 1053号包发出后，一直没有等到相应的Ack，只能在100多毫秒之后重传了；
8）TCP zerowindow 包种的“win”代表接收窗口的大小，当Wireshark在一个包中发现“win=0”时，就会发提示。
9）TCP window Full 此提示表示这个包的发送方已经把对方所声明的接收窗口耗尽了。 当Wireshark计算出Middle East已经有65535字节未被确认，就会发出此提示。
【TCP window Full】表示发送方暂时没办法再发送数据； 【TCP zerowindow】表示发送方暂时没办法再接收数据。
10）Time-to-live exceeded（Fragment reassembly time exceeded） 表示这个包的发送方之前收到了一些分片，但由于某些原因迟迟无法组装起来。
