Tcpdump Erläuterung

#1 Hallo Leute,

kann mir jemand von euch sagen was folgende Zeile (bzw. der letzte Teil) bei einem Dump bedeuten soll ?

13:31:42.416270 DETW0002.4046 > P35.2302: S 3540756496:3540756496(0) win 65535 <mss 1460,nop,nop,sackOK> (DF)

Leider finde ich bei Google & Co. nichts passendes.

Danke und Gruß,
Woodpecker02

#2 http://www.tcpdump.org/tcpdump_man.html

Das ist wie ich finde dort gut beschrieben.
__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#3 Danke für die Info,..habe ich soweit auch verstanden.

Leider fehlt mir noch die Info was " <mss 1460,nop,nop,sackOK> (DF) "

mss ist mir jetzt klar.

Der rest fehlt jedoch wiederrum.

Noch Ideen ?

Danke und Gruß,...

#4 http://www.securityfocus.com/infocus/1845

Vielleicht hilft dir das noch weiter (hab es nicht ganz gelesen).
__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#5

Zitat

Woodpecker02 postete
Hallo Leute,

kann mir jemand von euch sagen was folgende Zeile (bzw. der letzte Teil) bei einem Dump bedeuten soll ?

13:31:42.416270 DETW0002.4046 > P35.2302: S 3540756496:3540756496(0) win 65535 <mss 1460,nop,nop,sackOK> (DF)

Leider finde ich bei Google & Co. nichts passendes.

Danke und Gruß,
Woodpecker02

win=tcp windowsize (also wieviele pakete gesendet werden dürfen, ohne ein ACK dazwischen zu erhalten

mss=maximum segment size (die größe des tcp-paketes in bytes, hier 1460)

nop=nooperation/nicht gesetzte werte... was da stehen könnt, müsst man in der reihenfolge der tcp-flags nachtucken
eines ist ein optionaler tcp-timestamp: da könnte die rtt (roundtriptime) von paketen drin stehen
das zweite erlaubt es, beim verbindungsaufbau auszuhandeln, dass man das tcp-window last und performanceabhänig zu verändern...
in diesem falle beide optionen nicht vereinbart/genutzt

sackOK=selectiveACK... also das partielle ACKen von tcp-paketen.... Normalerweise werden aneinanderhängende blöcke geackt. wenn ein paket des blockes (ein block entspricht der windowsize) verloren geht, würde das ganze window neu übertragen. sack erlaubt, einzelne, verstreute pakete eines window-blockes zu acken. somit müssen im fehlerfall nur die einzelnen, verlorenen pakete neu übertragen werden
das spart bandbreite und bringt performance

DF=Dont Fragment. D.h. der Sender will nicht, dass zu große pakete zerteilt und einzeln gesandt werden (fragmentierung)

Gruß, Markus