协议分析仪通过捕获、解码、统计和可视化TCP数据包，能够精准分析重传次数及其原因，帮助定位网络性能瓶颈或故障。以下是具体分析方法及实践案例：

一、核心分析原理：基于TCP序列号与确认号

TCP重传的判断依赖于协议分析仪对序列号（Sequence Number）和确认号（Acknowledgment Number）的跟踪：

1. 序列号（Seq）：标识数据包的起始字节位置，用于接收方重组数据。
2. 确认号（Ack）：接收方期望收到的下一个字节的序列号，用于确认已接收的数据。
3. 重传触发条件：
   • 超时重传（RTO）：发送方在重传计时器（RTO）超时后未收到Ack，会重传未确认的数据包。
   • 快速重传（Fast Retransmit）：发送方收到3个重复Ack（即接收方收到乱序包，重复发送最后一个正确Ack），立即重传丢失的包。

协议分析仪的作用：

• 自动解析每个TCP包的Seq/Ack字段，标记未被确认的数据包。
• 统计重传次数，并区分超时重传与快速重传。
• 关联重传包与原始包，分析重传间隔（如RTO值）和重传内容（如是否为部分数据重传）。

二、操作步骤：从捕获到分析

1. 捕获TCP流量

• 选择捕获接口：
  • 有线网络：连接分析仪至交换机镜像端口或使用TAP分路器。
  • 无线网络：通过支持802.11的协议分析仪（如Wireshark+无线网卡）捕获Wi-Fi流量。
• 设置捕获过滤器：
  • 仅捕获TCP流量：tcp
  • 捕获特定端口的流量（如HTTP）：tcp port 80
  • 捕获特定IP对的流量：host 192.168.1.1 and host 10.0.0.2

2. 解码TCP协议

• 协议分析仪自动解析：
  • 显示每个TCP包的Seq/Ack值、窗口大小（Window Size）、标志位（如SYN/ACK/RST/PSH）。
  • 标记重传包（通常以红色高亮显示，并标注“Retransmission”）。
• 手动验证重传：
  • 查找重复的Seq号：若同一Seq号的数据包出现多次，且未收到后续Ack，则为重传。
  • 检查Ack号：若接收方持续发送相同的Ack号（如Ack=1000），说明Seq=1000的数据包未被正确接收。

3. 统计重传次数

• 内置统计功能：
  • 主流分析仪（如Wireshark、OmniPeek、Keysight Network Analyzer）提供“TCP Retransmissions”统计项。
  • 示例（Wireshark）：
    1. 打开捕获文件，点击菜单 Statistics > TCP Stream Graph > Retransmissions。
    2. 生成重传次数随时间变化的图表，并显示总重传次数。
• 自定义过滤统计：
  • 使用显示过滤器 tcp.analysis.retransmission 筛选所有重传包，统计结果数量。
  • 结合时间范围过滤（如 tcp.analysis.retransmission && frame.time >= "2024-01-01 10:00:00"）分析特定时段的重传情况。

4. 分析重传原因

• 超时重传（RTO）：
  • 特征：重传间隔较长（通常数百毫秒至数秒），且无重复Ack。
  • 可能原因：网络拥塞、链路质量差（如高丢包率）、RTO值设置不合理。
  • 分析方法：
    • 测量重传间隔：计算原始包发送时间与重传包发送时间的差值。
    • 检查RTO计算：部分分析仪（如Wireshark）可显示RTO值（需启用TCP协议选项解析）。
• 快速重传：
  • 特征：重传间隔短（通常<100ms），且伴随3个重复Ack。
  • 可能原因：数据包乱序（如中间设备缓存错误）、网络抖动。
  • 分析方法：
    • 查找重复Ack：使用过滤器 tcp.analysis.duplicate_ack 筛选重复Ack包。
    • 关联重传包与重复Ack：确认重传包的Seq号是否与重复Ack的Ack号匹配。
• 其他原因：
  • 选择性确认（SACK）：若启用SACK，接收方会通过SACK块报告已接收的乱序数据，分析仪可解析SACK块内容。
  • 连接重置（RST）：若重传后收到RST包，可能是对端异常终止连接（如应用崩溃）。

三、实践案例：分析HTTP请求的重传问题

场景描述

用户反馈访问某网站时页面加载缓慢，协议分析仪捕获到大量TCP重传包。

分析步骤

1. 捕获流量：
   • 使用Wireshark捕获客户端与服务器（IP: 192.168.1.100:80）之间的TCP流量。
   • 设置过滤器：tcp port 80 and host 192.168.1.100。
2. 定位重传包：
   • 应用过滤器 tcp.analysis.retransmission，筛选出所有重传包。
   • 发现重传包集中于Seq=5000-6000的数据段（对应HTTP响应体）。
3. 分析重传原因：
   • 检查重复Ack：
     • 使用过滤器 tcp.analysis.duplicate_ack，发现接收方（客户端）持续发送Ack=5000的重复Ack。
     • 确认重传类型为快速重传（因收到3个重复Ack）。
   • 检查网络质量：
     • 生成“IO Graph”图表（Wireshark菜单 Statistics > IO Graph），设置Y轴为“TCP Retransmissions”，X轴为时间。
     • 发现重传集中在网络延迟突增时段（延迟从10ms升至200ms），推测为网络拥塞导致乱序。
4. 验证解决方案：
   • 调整TCP参数：在客户端启用TCP SACK（sysctl -w net.ipv4.tcp_sack=1），减少乱序导致的重传。
   • 优化网络：联系网络管理员检查拥塞点（如交换机端口利用率），或升级链路带宽。
   • 结果验证：重新捕获流量，确认重传次数下降90%，页面加载时间从5秒缩短至1秒。

四、高级分析技巧

1. 时间序列分析：
   • 使用分析仪的“Time Sequence Graph（Stevens）”查看TCP窗口大小、Seq/Ack变化趋势，识别窗口收缩或零窗口事件（可能导致重传）。
2. 流量分类统计：
   • 按应用类型（如HTTP/FTP/数据库）分类统计重传率，定位高重传应用。
3. 对比分析：
   • 捕获正常流量与异常流量的对比，识别重传模式差异（如正常流量无快速重传，异常流量频繁快速重传）。

五、常见问题与解决

通过协议分析仪的深度解析与统计功能，可快速定位TCP重传的根源（网络拥塞、乱序、丢包等），为性能优化提供数据支撑。