Texto e documentos
Números e cálculo
Dados e formatos
Segurança
Desenvolvimento e DevOps
Inteligência Artificial
Finanças
Saúde & Bem-estar
Produtividade
Jogos & Entretenimento
Multimédia e design
Empresa
Guia de utilização
O que é

Uma captura de rede (.pcap ou .pcapng, do Wireshark ou do tcpdump) explicada pacote a pacote: o que se passa com cada ligação TCP, cada consulta DNS e cada pedido HTTP, e porquê, com os números que o decidem. A captura é lida no teu navegador e não sai do teu equipamento nem é guardada.

As mesmas regras que o Wireshark

A análise TCP está traduzida da do Wireshark 4.4 (o seu código, não só o manual) e verificada contra o tshark pacote a pacote em 100 capturas: retransmissão, retransmissão rápida e espúria, fora de ordem, ACK duplicados, janela a zero, janela cheia (com a escala de janela do SYN), SACK, sondas, keep-alive e RST. O que não faz: MPTCP.

O que o Wireshark não te diz

Cinco coisas que confundem e não vêm nos livros: uma retransmissão por temporizador não se vê a partir do recetor (o segmento perdido nunca chega à captura); «rápida» exige que o último ACK duplicado tenha sido visto há menos de 20 ms, por isso depende de onde capturas; o iRTT do Wireshark conta o RST+ACK de uma ligação rejeitada como fecho da saudação, e não é calculado se o SYN tiver marca de tempo 0; e com SACK, chama «rápida» a quase qualquer reenvio, mesmo ao de bytes já confirmados (compara números absolutos com relativos). Quando acontece, vês isso no resumo.

Praticar

No separador Praticar aparecem perguntas sobre a captura que tiveres aberta, também a tua: em que pacotes há cada problema, um que NÃO tem (para não inventar) e o iRTT. Marca «Ocultar a análise» para não ver as respostas enquanto respondes.

Laboratório de capturasCapturas de rede (.pcap) explicadas: TCP, DNS e HTTP, pacote a pacote

Captura

Retransmissão rápida após ACK duplicados · capturada no cliente · criada para ensinar e verificada com tshark

Arrasta aqui a tua captura ou abre-a com o botão: é lida no teu navegador, não sai do teu equipamento e não é guardada.

O que se passa

  • Retransmissão rápida:
  • ACK duplicado: , , ,
RTT inicial (iRTT): 5.1 msDNS blog.prueba.test: NOERROR → 203.0.119.211 GET /login: 200

O que o Wireshark não te diz

No pacote 9 falta um pedaço que se perdeu ANTES de chegar ao ponto de captura. Se o seu reenvio chegar por temporizador e em ordem, a partir daqui vai parecer um segmento normal que chega tarde: uma retransmissão assim só se vê capturando no emissor.

N.ºTempoOrigemDestinoProtoInfoAnálise
10.000000192.168.1.4810.0.0.247DNS? blog.prueba.test (id 0x49f4)
20.01700010.0.0.247192.168.1.48DNSNOERROR · blog.prueba.test → CNAME edge.blog.prueba.test, A 203.0.119.211 (id 0x49f4)
30.018000192.168.1.48203.0.119.211TCP52028 → 80 [SYN] Seq=0 Win=64240 Len=0 MSS=1460 SACK_PERM
40.023000203.0.119.211192.168.1.48TCP80 → 52028 [SYN, ACK] Seq=0 Ack=1 Win=64240 Len=0 MSS=1460 SACK_PERM
50.023100192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=1 Ack=1 Win=64240 Len=0
60.023300192.168.1.48203.0.119.211HTTPGET /login HTTP/1.1 (Host: blog.prueba.test) · 52028 → 80 [PSH, ACK] Seq=1 Ack=1 Win=64240 Len=86
70.028300203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=1 Ack=87 Win=64240 Len=1000
80.028400192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0
90.028700203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=2001 Ack=87 Win=64240 Len=1000Falta um segmento anterior
100.028800192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0ACK duplicado n.º 1
110.029100203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=3001 Ack=87 Win=64240 Len=1000
120.029200192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0ACK duplicado n.º 2
130.029500203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=4001 Ack=87 Win=64240 Len=1000
140.029600192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0ACK duplicado n.º 3
150.029900203.0.119.211192.168.1.48TCP80 → 52028 [PSH, ACK] Seq=5001 Ack=87 Win=64240 Len=831
160.030000192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=1001 Win=64240 Len=0ACK duplicado n.º 4
170.035000203.0.119.211192.168.1.48HTTPHTTP/1.1 200 OK · 80 → 52028 [PSH, ACK] Seq=1001 Ack=87 Win=64240 Len=1000Retransmissão rápida
180.035100192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=87 Ack=5832 Win=64240 Len=0
190.035300192.168.1.48203.0.119.211TCP52028 → 80 [FIN, ACK] Seq=87 Ack=5832 Win=64240 Len=0
200.040300203.0.119.211192.168.1.48TCP80 → 52028 [FIN, ACK] Seq=5832 Ack=88 Win=64240 Len=0
210.040400192.168.1.48203.0.119.211TCP52028 → 80 [ACK] Seq=88 Ack=5833 Win=64240 Len=0

Seq e Ack são relativos (como no Wireshark): contam a partir do número inicial de cada sentido.