2026-06-02

تحليل PCAP لفقدان الحزمة: عمليات إعادة الإرسال وتكرار ACKs ومكان اختفاء الحزم

كيفية استخدام التقاط الحزم لتشخيص فقدان الحزم، وإعادة إرسال TCP، وتكرار ACKs، وانحياز نقطة الالتقاط، وما إذا كانت الخسارة قد حدثت على الشبكة أو المضيف.

يعد فقدان الحزم أحد أكثر موضوعات استكشاف أخطاء الشبكة وإصلاحها التي يتم البحث عنها نظرًا لأن الأعراض واسعة النطاق: "التنزيلات البطيئة والفيديو المتجمد والتحميلات الفاشلة وجودة VoIP السيئة وتدفقات RTSP المعطلة وإعادة إرسال TCP وتأخر اللعبة وعدم استقرار VPN ومهلة HTTP. يبحث المستخدمون عن "تحليل فقدان الحزمة pcap"، و"معنى إعادة إرسال TCP"، و"تكرار ACK Wireshark"، و"كيفية العثور على فقدان الحزمة في pcap" لأنهم بحاجة إلى دليل، وليس تخمينات." يمكن أن يثبت التقاط الحزمة الكثير، ولكن فقط إذا قمت بتفسيرها بعناية. لا تثبت إعادة الإرسال في لقطة واحدة تلقائيًا أن الشبكة قد أسقطت حزمة. قد يثبت أن نقطة الالتقاط لم تر حزمة، أو أن المرسل أعاد إرسالها لأنه لم يتلق ACK، أو أن المتلقي رأى بيانات خارج الترتيب.

تُعد جراحة PCAP مفيدة في سير العمل هذا لأن تحقيقات فقدان الحزم غالبًا ما تتطلب اقتطاع التقاط كبير لمحادثة واحدة، والحفاظ على الطوابع الزمنية، ومقارنة نقاط الالتقاط، والحفاظ على دليل الرقم التسلسلي سليمًا.

كيف يبدو فقدان الحزمة في TCP

يحاول TCP التعافي من الخسارة. في عمليات التقاط الحزم، يمكن أن يظهر هذا على النحو التالي:

Retransmissions
إعادة الإرسال السريع
ACKs مكررة
الحزم خارج الترتيب
كتل ACK انتقائية
الفجوات في الأرقام التسلسلية
تأخيرات طويلة قبل استئناف البيانات
انخفاض الإنتاجية بعد الخسارة

قد يقوم الالتقاط بتسمية الحزمة كإعادة إرسال، لكن التسمية عبارة عن تفسير. الدليل الأساسي هو أرقام التسلسل، والاعترافات، والتوقيت، والاتجاه.

ACKs مكررة

يعني ACK المكرر أن جهاز الاستقبال يعترف بنفس الرقم التسلسلي مرة أخرى. يحدث هذا عادةً لأنه تلقى بيانات تتجاوز المقطع المفقود ولا يزال ينتظر البايتات المفقودة.

مثال:

Sender -> Receiver: Seq 1000 Len 1000
Sender -> Receiver: Seq 2000 Len 1000
Sender -> Receiver: Seq 3000 Len 1000
Receiver -> Sender: ACK 2000
Receiver -> Sender: ACK 2000
Receiver -> Sender: ACK 2000
Sender -> Receiver: Retransmit Seq 2000 Len 1000

Retransmission timeout

When investigating, measure:

Capture point bias

Example:

Capture loss vs network loss

Signs of capture loss include:

TCP SACK evidence

Out-of-order is not always loss

When analyzing:

UDP packet loss

Checklist for packet loss PCAP analysis

Use this process:

Why edited capture files need care

Final diagnosis

إجابة مبنية على الحزم لموضوع «تحليل PCAP لفقدان الحزمة: عمليات إعادة الإرسال وتكرار ACKs ومكان اختفاء الحزم»

الإجابة المباشرة هي أن label في أداة التحليل أو رسالة التطبيق لا تكفي لتحديد السبب. ابدأ بنقطة الالتقاط واتجاه التدفق، ثم أثبت آخر حد بروتوكول نجح وأول حد فشل. في «تحليل PCAP لفقدان الحزمة: عمليات إعادة الإرسال وتكرار ACKs ومكان اختفاء الحزم» يجب أن يستطيع مراجع آخر العثور على packet أو gap أو interval الذي يدعم الجملة، وأن يعرف ما الذي يمكن أن ينفيها.

ضع الالتقاط على خريطة المسار

سجّل client وserver وأي proxy أو load balancer أو NAT أو firewall بينهما. اكتب interface ومكان الالتقاط والساعة ونظام التشغيل وهل ترى الاتجاهين. capture قرب client يثبت ما وصل إلى client، لكنه لا يثبت أن server لم يرسل شيئًا. capture قرب server يثبت الإرسال عند تلك النقطة، لكنه لا يثبت عبور المسار. إذا اختلف ملفان من نقطتين، صحّح clock offset وطابق flow tuple وTCP sequence أو معرف المعاملة قبل مقارنة الزمن.

تحقق من سلامة القياس: snap length، dropped packets، offload، capture filter،حدود ring buffer ووقت البدء. checksum غير الصحيح في capture على host قد يكون offload artifact. segment كبير قد يكون نتيجة GRO/TSO وليس packet واحدًا على السلك. packet غائب من ملف محدود لا يصبح network loss قبل إثبات أن نقطة القياس كان يجب أن تراه.

اقرأ الحدود بالترتيب

الحد	دليل النجاح	دليل الفشل المفيد
Link وIP	الاتجاه والعناوين والمسار متسقة	ARP/NDP مفقود، ICMP، MTU أو asymmetry
TCP	SYN وSYN-ACK وACK مع sequence صحيح	retransmission أو RST أو zero window أو timeout
TLS	ClientHello وServerHello وتقدم handshake	alert أو SNI/ALPN/certificate boundary
التطبيق	request كامل ورد مرتبط به	status أو gap أو إغلاق قبل الرد
تجربة المستخدم	زمن الاستجابة أو failure window	stall مرتبط بحد مثبت

توقف عند أول حد بلا دليل نجاح. إذا لم يكتمل TCP، لا تبدأ بتفسير HTTP. إذا وصل request إلى proxy ولم يظهر على upstream، فالحد يقع داخل proxy أو مساره. إذا وصل إلى upstream ولم يظهر response قبل policy timeout، افصل application delay عن فقد network بالنظر إلى ACK والتقدم في bytes.

افصل الملاحظة عن الفرضية

الملاحظة قابلة للإشارة: «أرسل client bytes حتى sequence محدد، ثم كرر المرسل segment ثلاث مرات ولم يصل ACK متقدم عند نقطة الرصد». الفرضية هي «المسار أسقط segment». قد تنفيها capture أخرى ترى ACK أو تظهر أن نقطة الالتقاط فقدت records. اكتب لكل فرضية دليلًا مؤيدًا ودليلًا يمكن أن يرفضها.

لا تجعل كلمة retransmission أو duplicate ACK حكمًا على المالك. reordering وloss وcapture artifact وreceiver delay قد تنتج علامات متشابهة. اربط direction وsequence وACK وSACK وRTT وwindow ووقت التطبيق. وفي DNS أو DHCP اربط transaction ID والعناوين والمحاولات، وفي HTTP اربط request/response، وفي TLS اربط اتجاه handshake بدل الاعتماد على لون packet.

حافظ على الأصل قبل التحرير

احسب checksum للملف الأصلي واجعله read-only في القضية. أنشئ working copy للتصفية والقص وإخفاء البيانات. سجّل كل عملية: المدخل، نوع التحويل، وقت التنفيذ، packet count قبل وبعد، checksum الناتج وسبب التغيير. إذا عدّلت timestamp أو حذفت packet، اذكر أن النسخة لم تعد مناسبة لقياس بعض التوقيت أو التسلسل.

عند إخفاء البيانات، استبدل addresses وidentifiers بصورة ثابتة حتى يبقى نفس endpoint قابلًا للتتبع. لا تحذف ports أو directions أو lengths إذا كانت ضرورية للحكم. افصل secret mapping عن التقرير المشترك. استخدم نطاق الالتقاط والتصدير لمراجعة حدود الملف، ونظرة PCAP Surgery العامة لتسليم نسخة مشتقة مع سجل قابل للتدقيق.

QA قبل نشر الإجابة

اسأل: هل العنوان والجواب يتناولان flow نفسه؟ هل كل زمن يذكر الساعة المستخدمة ونقطتي القياس؟ هل أول failure boundary محدد؟ هل alternative explanation مكتوبة؟ هل يمكن إعادة الاختبار بتغيير واحد؟ هل الأصل محفوظ؟ الإجابة الجيدة تحدد أيضًا حدودها: «يثبت هذا الملف سلوكًا قرب client خلال interval محدد؛ لا يثبت ما حدث داخل server».

كلمات Semrush لا تُوزع آليًا على المقالات. العبارة العامة الموثقة PCAP analyzer يملكها مسار المنتج وحده؛ هذه الصفحة تبقى على سؤالها التقني ولا تدعي volume أو KD غير موجود.

دفتر flow واختبار الاستبعاد

أنشئ صفًا لكل اتجاه في «تحليل PCAP لفقدان الحزمة: عمليات إعادة الإرسال وتكرار ACKs ومكان اختفاء الحزم»: endpoints بعد alias، أول وآخر packet، bytes المرسلة والمُقر بها، resets، retransmissions، application requests والردود. لا تجمع اتصالين لأنهما يستخدمان hostname نفسه؛ source port ووقت البدء وTCP initial sequence تفصل sessions. عند NAT أو proxy اكتب علاقة كل flow بالآخر ولا تفترض أن sequence أو port سيبقى نفسه.

حساب TCP بدل عدّ labels

اتبع next expected sequence لدى receiver. segment بطول payload يحرّك sequence بذلك الطول؛ SYN وFIN يستهلكان رقمًا أيضًا. duplicate ACK ثابت بعد وصول segments أعلى من gap يدعم فقدًا أو reordering. SACK blocks توضح ranges التي وصلت، لكنها لا تثبت مكان الفقد. إذا ظهر retransmission في نقطة sender ولم يظهر في نقطة receiver، اختبر المسار بينهما؛ وإذا لم يظهر أصل segment عند sender point فقد يكون capture loss أو offload.

فرّق بين fast retransmit بعد duplicate ACKs وRTO بعد صمت. قارن RTT قبل الحدث، advertised window، zero-window probes،拥塞 burst وحجم transfer. لا تحسب كل analyzer retransmission بوصفه packet مختلفًا؛ قد يكون overlap أو spurious retransmission أو capture بدأ منتصف flow.

قياس الزمن بحدود

استخدم أربع لحظات عندما تكون متاحة: request first byte، request complete، response first byte، response complete. TTFB لا يساوي زمن server إلا إذا كانت نقطة القياس وحدود النقل معلومة. retransmission قبل response قد يضيف network delay، بينما ACK كامل ثم صمت طويل يرجح application wait. اكتب القيمة والوحدة والساعة، ولا تستخدم «بطيء» بلا baseline.

عند نقطتين طابق packet مميزًا في الاتجاهين وقدّر offset، ثم استخدم intervals داخل كل capture لتجنب drift. إذا كانت الدقة أو clocks غير موثوقة، أعط range بدل رقم زائف الدقة. قارن successful وfailed windows بطول مماثل وحمل متشابه.

أسئلة بروتوكولية

في DNS: هل query وresponse يحملان ID والاسم والنوع نفسه، وهل retry يستخدم resolver أو source port مختلفًا؟ في DHCP: هل Discover وOffer وRequest وACK تخص client identifier نفسه؟ في TLS: ما آخر handshake message في كل اتجاه، وهل alert مشفر أم واضح؟ في HTTP: من أنشأ 4xx/5xx، وهل upstream flow يسبق response؟ في TCP close: من أرسل FIN أو RST وما bytes غير المُقر بها عندها؟

تجربة حاسمة وتسليم

اختر فرضيتين متنافستين واختبارًا واحدًا يفصل بينهما. capture قرب الطرف الآخر يفصل network loss عن measurement loss؛ تعطيل offload في test يختبر artifact؛ إعادة الطلب نفسه عبر path ثابت تختبر intermittency؛ مقارنة upstream log timestamp مع packet boundary تختبر application delay. اكتب النتيجة المتوقعة لكل فرضية قبل التنفيذ.

يُقبل التقرير عندما يكرر reviewer الحساب من packet metadata، ويصل إلى boundary نفسها، ويعرف حدود الاستنتاج. أرفق original checksum وderived checksum وfilter وpacket ranges، واكتب عمليات trim/redaction. اختم بـowner والخطوة: network،client،server،proxy أو capture tooling، مع شرط إغلاق قابل للقياس.

مراجعة إعادة الإنتاج

ابدأ connection جديدة وكرر السيناريو ثلاث مرات مع المدخلات والـfilter نفسيهما. قد تتغير ports وinitial sequence، لكن boundary والاتجاه ونمط الاستجابة يجب أن تتكرر. اكتب failures وsuccesses كلها. اختبر إصلاحًا بتغيير واحد، ثم تحقق أن packet behavior المتوقع تغير، لا رسالة التطبيق فقط.

راجع النسخة المشتقة على جهاز آخر. يجب أن يجد reviewer flow aliases وclock وcapture point وآخر نجاح وأول فشل والسبب المنافس. افحص redaction بحثًا عن hostname وquery وheader وpayload حساس، مع إبقاء lengths وdirections اللازمة. اذكر ما لم يُختبر: الاتجاه الآخر أو IPv6 أو reconnect أو load مختلف.

النتيجة النهائية واحدة من ثلاث: مثبت ضمن النطاق، ما زال قابلًا للتكرار، أو غير محسوم بسبب capture محدد مفقود. لا تستخدم «تم إصلاح الشبكة» إذا كان الاختبار يثبت flow واحدًا فقط.

التحكم المضاد ودرجة الثقة

قبل إغلاق «{{TITLE}}»، اكتب توقعًا مضادًا: إذا كان network path هو السبب، فما الذي يجب أن يظهر في capture عند الطرفين بعد نقل نقطة القياس؟ وإذا كان server delay هو السبب، فهل يجب أن تبقى request bytes مُقرًا بها مع غياب response؟ هذه التوقعات تمنع تغيير التفسير بعد رؤية النتيجة.

استخدم مستوى ثقة مرتبطًا بالأدلة. «مرتفع» يحتاج تكرارًا ونقطتي رصد أو دليلًا مستقلاً؛ «متوسط» يعني capture واحدة مع بديل لم يُختبر؛ «منخفض» يعني label أو timing تقريبي فقط. مستوى الثقة لا يحول hypothesis إلى fact، لكنه يوضح قرار الخطوة التالية.

للمشكلات البطيئة أو المتقطعة، اختبر window أطول من interval المعتاد للفشل. قارن rates لا counts خامًا: retransmissions لكل megabyte، failures لكل connection، وlatency percentiles ضمن حمل مماثل. سجّل idle وreconnect وDNS cache وTLS session reuse، لأنها قد تجعل التشغيل الثاني مختلفًا عن الأول.

أنشئ حزمة تسليم صغيرة: جدول flow، timeline من خمس أحداث، أول اختلاف، اختبار الاستبعاد، نتيجة الإصلاح، ونطاق غير مختبر. اربط packet numbers بالنسخة المشتقة واحتفظ بمطابقة زمنية للأصل. يجب أن يفتح الفريق المستلم الملف ويعيد الحكم من دون الوصول إلى secrets أو جلسة المحلل.