关于wireshark的Header checksum出问题解决方案

包在wireshark中显示是黑色的,IP层显示错误:Header checksum: 0x0000 [incorrect, should be 0xffff (maybe caused by "IP checksum offload)].


首先解释Checksum offloading:

http://man.lupaworld.com/content/network/wireshark/c7.7.html

检验和计算可能由网络网络驱动,协议驱动,甚至是硬件完成。

例如:以太网传输硬件计算以太网循环容易校验,接受硬件验证这个校验。如果接受验证发现错误,Wireshark将不会接收到这个包,以太网硬件会直接丢弃这个包。

高层校验通常是由协议执行,并将完成后的包转交给硬件。

比较新的网络硬件可以执行一些高级功能,如IP检验和计算,这被成为checksum offloading。网络驱动不会计算校验和,只是简单将校验和字段留空或填入无效信息,交给硬件计算。

checksum offloading经常会导致混乱,因为网络包在检验和计算之前转交给Wireshark。Wireshark得到包的检验和字段是空的,必然会显示检验和错误,尽管这个包在从网络硬件发出的时候是带有校验和的。

Checksum offloading会引起混淆,让你屏幕上看到大量的[invalid]信息,引起你的反感。前面提到过,错误的检验和会导致包无法合并,更难进行包数据分析。

你可以采取两种方法避免Checksum offloading 问题

  • 在驱动程序上关闭checksum offloading选项,如果可用的话。

  • 通过首选项关闭Wireshark上特定协议的校验和验证。




    关闭wireshark上特定协议的校验和验证方法:edit -> preferences -> protocols -> IPv4 -> validate the IPv4 checksum if possible 把对勾去掉。 这样会让wireshark中原来是黑色的BAD TCP不再显示黑色,但它仍是有问题的。。没有解决本质问题。。这个包的数据长度是0.


    貌似应该采取第一个方法。这个人也遇到同样问题:http://hi.baidu.com/3w417/item/d31e2f72294a1b46ef1e53ea

    解决方法:

    http://support.microsoft.com/kb/904946/en-us

    To work around this problem, turn off checksum offloading on the network adapter. To do this, follow these steps:

    1. Click Start, click Run, type regedit, and then click OK.
    2. Locate and then click the following registry subkey:
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
    3. In the right pane, make sure that the DisableTaskOffload registry entry exists. If this entry does not exist, follow these steps to add the entry:
      1. On the Edit menu, point to New, and then click DWORD Value.
      2. Type DisableTaskOffload, and then press ENTER.
    4. Click DisableTaskOffload.
    5. On the Edit menu, click Modify.
    6. Type 1 in the Value data box, and then press ENTER.
    7. Exit Registry Editor.
    记得要重启机子。。




 

你可能感兴趣的:(wireshark,checksum,offload,Header,checksum)