Texte & documents
Nombres & calcul
Données & formats
Sécurité
Développement & DevOps
Intelligence artificielle
Finances
Santé et bien-être
Productivité
Jeux et divertissement
Multimédia & design
Entreprise
Guide d'utilisation
Qu'est-ce que c'est

Une capture réseau (.pcap ou .pcapng, de Wireshark ou tcpdump) expliquée paquet par paquet : ce qui arrive à chaque connexion TCP, chaque requête DNS et chaque requête HTTP, et pourquoi, avec les chiffres qui en décident. La capture est lue dans ton navigateur et ne quitte pas ton appareil ni n'est enregistrée.

Les mêmes règles que Wireshark

L'analyse TCP est traduite de celle de Wireshark 4.4 (son code, pas seulement son manuel) et vérifiée face à tshark paquet par paquet sur 100 captures : retransmission, retransmission rapide et superflue, hors séquence, ACK dupliqués, fenêtre à zéro, fenêtre pleine (avec la mise à l'échelle de fenêtre du SYN), SACK, sondes, keep-alive et RST. Ce qu'elle ne fait pas : MPTCP.

Ce que Wireshark ne te dit pas

Cinq choses qui prêtent à confusion et qu'on ne trouve pas dans les livres : une retransmission par minuteur ne se voit pas depuis le récepteur (le segment perdu n'arrive jamais dans la capture) ; « rapide » exige que le dernier ACK dupliqué ait été vu il y a moins de 20 ms, donc ça dépend d'où tu captures ; l'iRTT de Wireshark compte le RST+ACK d'une connexion rejetée comme la clôture de la poignée de main, et il n'est pas calculé si le SYN a l'horodatage 0 ; et avec SACK, il appelle « rapide » presque n'importe quel renvoi, même celui d'octets déjà confirmés (il compare des numéros absolus à des relatifs). Quand ça arrive, tu le verras dans le résumé.

S'exercer

Dans l'onglet S'exercer apparaissent des questions sur la capture que tu as ouverte, y compris la tienne : dans quels paquets se trouve chaque problème, un qui ne l'a PAS (pour ne pas inventer) et l'iRTT. Coche « Masquer l'analyse » pour ne pas voir les réponses pendant que tu réponds.

Laboratoire de capturesCaptures réseau (.pcap) expliquées : TCP, DNS et HTTP, paquet par paquet

Capture

Retransmission rapide après des ACK dupliqués · capturée sur le client · fabriquée pour l'enseignement et vérifiée avec tshark

Fais glisser ta capture ici ou ouvre-la avec le bouton : elle est lue dans ton navigateur, ne quitte pas ton appareil et n'est pas enregistrée.

Ce qui se passe

  • Retransmission rapide:
  • ACK dupliqué: , , ,
RTT initial (iRTT): 5.1 msDNS blog.prueba.test: NOERROR → 203.0.119.211 GET /login: 200

Ce que Wireshark ne te dit pas

Dans le paquet 9 manque un morceau perdu AVANT d'arriver au point de capture. Si son renvoi arrive par minuteur et dans l'ordre, vu d'ici cela ressemblera à un segment normal arrivant en retard : une retransmission de ce type ne se voit qu'en capturant côté émetteur.

N.ºTempsSourceDestinationProtoInfoAnalyse
10.000000192.168.1.4810.0.0.247DNS? blog.prueba.test (id 0x49f4)
20.01700010.0.0.247192.168.1.48DNSNOERROR · blog.prueba.test → CNAME edge.blog.prueba.test, A 203.0.119.211 (id 0x49f4)
30.018000192.168.1.48203.0.119.211TCP52028 → 80 [SYN] Seq=0 Win=64240 Len=0 MSS=1460 SACK_PERM
40.023000203.0.119.211192.168.1.48TCP80 → 52028 [SYN, ACK] Seq=0 Ack=1 Win=64240 Len=0 MSS=1460 SACK_PERM
50.023100192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=1 Ack=1 Win=64240 Len=0
60.023300192.168.1.48203.0.119.211HTTPGET /login HTTP/1.1 (Host: blog.prueba.test) · 52028 → 80 [PSH, ACK] Seq=1 Ack=1 Win=64240 Len=86
70.028300203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=1 Ack=87 Win=64240 Len=1000
80.028400192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0
90.028700203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=2001 Ack=87 Win=64240 Len=1000Un segment précédent manque
100.028800192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0ACK dupliqué n° 1
110.029100203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=3001 Ack=87 Win=64240 Len=1000
120.029200192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0ACK dupliqué n° 2
130.029500203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=4001 Ack=87 Win=64240 Len=1000
140.029600192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0ACK dupliqué n° 3
150.029900203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=5001 Ack=87 Win=64240 Len=831
160.030000192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0ACK dupliqué n° 4
170.035000203.0.119.211192.168.1.48HTTPHTTP/1.1 200 OK · 80 → 52028 [PSH, ACK] Seq=1001 Ack=87 Win=64240 Len=1000Retransmission rapide
180.035100192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=5832 Win=64240 Len=0
190.035300192.168.1.48203.0.119.211TCP52028 → 80 [FIN, ACK] Seq=87 Ack=5832 Win=64240 Len=0
200.040300203.0.119.211192.168.1.48TCP80 → 52028 [FIN, ACK] Seq=5832 Ack=88 Win=64240 Len=0
210.040400192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=88 Ack=5833 Win=64240 Len=0

Seq et Ack sont relatifs (comme dans Wireshark) : ils comptent à partir du numéro initial de chaque sens.