Wireshark捕获的outgoing_TCP包的IP_header_checksum_error问题

在使用WireShark等截取数据包时,往往会出现错误的CheckSum,这主要是因为网卡开启了CheckSum Offload(硬件校验和) 功能搜索,系统将CheckSum的计算工作交由网卡去计算,在高速网络交换的情况下可以大大减轻CPU的工作负荷。
    在windows系统中的Checksum Offload过程如下:如果网卡支持,在高级选项里可以设置
Checksum Offload是否对Rx(接收端)或Tx(发送端)有效,也可以设置为对两者都有效。
    对于Tx,设置Checksum Offload有效之后,Windows的传输层将随机填充TCP校验和,因此在本机上抓取的数据包是Bad CheckSum。然后,网卡会自动计算正确的校验码然后发送,因此对方收到的仍然是正确的TCP包。 

    对Rx,设置Checksum Offload有效之后,网卡在接收数据时,会填充一个NDIS_TCP_IP_CHECKSUM_PACKET_INFO 结构并设置标志位,由网卡完成数据校验;如果由于某种原因失败,则不设置标志位,由Windows里的TCP/IP协议栈来完成数据校验。
     其实就是说,由于开启了硬件校验和功能,传输层并没有计算校验和,而是随机填了个数,所以你抓到的包校验和是错的,而这个错误的校验和在网卡发送出去前会被网卡改正过来,所以接收端收到的包是校验和正确的包,会发回反馈



标题其实描述得不是很到位,所以重述一遍问题:

使用Wireshark/Ethereal等抓包工具在本机抓包,会发现发出的TCP包被标记为IP头校验错误。
在Wireshark for win上的表现,往往是header checksum == 0x0000。
该问题在xp、win7均可能存在 。

这个问题困扰我好久,怀疑过是wireshark的bug,但是想想也不可能,也怀疑过是windows的问题,不过从实际的上层应用的表现来看, 似乎这个问题又没有引发任何影响。之前也使用ip header checksum error 关键词在Google搜索过,相关帖子还是有的,不过都没有建设性的答案。今天人品爆发,竟然搜到了答案,赶快记录下来:

http://www.netexpert.cn/viewthread.php?tid=4850
该文章是05年的,汗一个,那时我还在泡妞和逃课。

这里总结一下原因和解决方案:

网卡驱动的高级配置中,一般有两项叫做Rx Checksum Offload和Tx Checksum Offload
以win7为例,可以看下图所示:


其中的 “IPv4硬件校验和”即对应了这两个选项,它的可选项有“Rx & Tx 开启、Rx开启、Tx开启和关闭”四个。
默 认的配置往往是 Rx & Tx 开启。它表示网卡会帮应用进行计算ip头的checksum字段,这样一来,操作系统的ip协议栈无须进行额外的checksum运算,它只需封装好ip 数据报后甩给网卡即可。甩给网卡的原始ip报文的checksum字段值,原则上是无意义的,即随机的,但是根据windows上的表现来看,这个值一直 是固定0x0000。

猜测一下Wireshark的抓包原理,大概是利用Pcap提供的某种机制,把发给网卡的数据给截获了一份,这样一来,如果操作系统协议栈中出来的ip包的checksum尚未被正确设置,Wireshark完全不知道该数据还会被网卡进行修正,于是它就报错了。

至此,如何使得Wireshark不再抱怨ip头校验错误,答案已经显而易见了,直接选择关闭“IPv4硬件校验和”选项即可(选择“Rx开启”应该也是可行的,这样就相当于关闭了Tx的硬件校验和功能。但是我没有试验过)。

 

 

 

 

原始帖:

 

 

Ethereal抓包时发现TCP校验和错误

Q:

在Windows平台上用Ethereal抓包时发现TCP校验和错误,但应用层的反应告诉我,这
个报文的TCP校验和没问题。

A: 2000-03

网卡配置->高级->Rx Checksum Offload/Tx Checksum Offload,很可能你的这两处
设置是Enable,将之调整成Disable即可,代价是网络性能降低

一般由操作系统的TCP/IP协议栈完成TCP/UDP/IP校验和的计算工作,这两处设置成
Enable之后,协议栈不再进行校验和的计算,而是由网卡自己完成。如果在前述位置
没有发现Rx Checksum Offload/Tx Checksum Offload项,有两种可能,一种是网卡
本身不支持这种功能,另一种是网卡驱动未提供配置项,后一种情形居多。

事实上该问题与使用何种Sniffer软件无关。

 

你可能感兴趣的:(Wireshark捕获的outgoing_TCP包的IP_header_checksum_error问题)