TCP-CWR-Flag und ECN-PCAP-Analyse: Diagnose von CE, ECE und Überlastung ohne Paketverlust

Mit der expliziten Überlastungsbenachrichtigung kann ein Netzwerk eine Überlastung signalisieren, ohne Pakete zu verwerfen. Benutzer suchen nach „TCP ECN pcap“, „CE-Kennzeichnung Wireshark“, „ECE CWR-Flags“, „Überlastung ohne Paketverlust“, „ECN-Aushandlung fehlgeschlagen“ und „Middlebox blockiert ECN“, wenn sich der Durchsatz ändert, aber erneute Übertragungen das Verhalten nicht erklären.

PCAP-Chirurgie ist nützlich, da ECN-Beweise auf IP-Header-Bits, TCP-Handshake-Aushandlung, TCP-Flags und spätere Überlastungsreaktionen aufgeteilt werden. Wenn die Erfassung falsch zugeschnitten ist, können der wichtige Handshake und die markierten Pakete verschwinden.

Was ECN zeigt

ECN kann eine Überlastung vor dem Paketverlust anzeigen. Router können Pakete mit „Congestion Experienced“ markieren, anstatt sie zu verwerfen. Der Empfänger meldet dies dem Sender mit ECE und der Sender bestätigt die Antwort mit CWR.

Nützliche Beweise:

• ECN-Fähigkeit in SYN/SYN-ACK.
• ECT-Bits in IP-Headern.
• CE-gekennzeichnete Pakete.
• ECE-Flagge vom Empfänger.
• CWR-Flag vom Absender.
• Durchsatzänderung nach Überlastungsbenachrichtigung.

Dies ergibt eine andere Diagnose als die verlustgesteuerte Neuübertragungsanalyse.

ECN-Verhandlung

ECN muss beim Verbindungsaufbau ausgehandelt werden. Eine Ablaufverfolgung, die nach dem Handshake beginnt, zeigt möglicherweise nicht an, ob ECN aktiviert war.

Bewahren:

• SYN.
• SYN-ACK.
• ACK beendet den Handshake.
• TCP-Flags.
• IP-ECN-Feld.
• Irgendein Middlebox-Umschreiben.

Ohne den Handshake ist die ECN-Interpretation unvollständig.

CE-Kennzeichnung

CE-Kennzeichnungen weisen auf Staus auf dem Weg hin. Dies bedeutet nicht, dass das Paket verloren gegangen ist. Das Paket kam an, allerdings mit einem Überlastungssignal.

Dies ist wichtig für Supportfälle, bei denen die Diagramme Folgendes zeigen:

• Keine Neuübertragungen.
• Kein offensichtlicher Verlust.
• Reduzierter Durchsatz.
• Erhöhte Latenz.
• Verhalten der Warteschlangenverwaltung.
• Reaktion der Staukontrolle.

Das PCAP kann nachweisen, ob das Netzwerk eine Überlastung signalisiert hat, ohne dass Daten verloren gehen.

ECE- und CWR-Flaggen

ECE und CWR erscheinen in TCP-Flags.

Diagnosefragen:

• Gibt der Empfänger eine Überlastung mit ECE wieder?
• Antwortet der Absender mit CWR?
• Werden ECE-Flaggen wiederholt?
• Verringert sich der Durchsatz nach Markierungen?
• Entfernt eine Firewall ECN-Bits?
• Bleicht der Pfad ECN-Markierungen aus?

Diese Details helfen dabei, tatsächliche Überlastungssignale von Erfassungsartefakten zu unterscheiden.

Middlebox-Kompatibilität

Einige Middleboxen gehen falsch mit ECN um. Zu den Problemen gehören:

• ECN-Bits löschen.
• Verwerfen von ECN-fähigen SYN-Paketen.
• SYN wird bestanden, spätere Markierungen werden jedoch gelöscht.
• Falsche Meldung von Flags nach NAT.
• VPN-Kapselung verliert ECN-Status.
• Das Verhalten des Load Balancers ist je nach Pfad unterschiedlich.

Wenn eine Verbindung mit deaktiviertem ECN funktioniert, bei aktiviertem ECN jedoch fehlschlägt, behalten Sie die Vor-/Nachher-PCAPs bei.

Falsche Verlustdiagnose

ECN kann die Senderate ohne erneute Übertragungen reduzieren. Wenn ein Techniker davon ausgeht, dass eine Überlastung einen Paketverlust zur Folge hat, kann es sein, dass ihm CE/ECE/CWR-Beweise entgehen.

Eine gute Analyse trennt:

• Paketverlust.
• Verzögerung in der Warteschlange.
• ECN-Kennzeichnung.
• Druck im Empfängerfenster.
• Langsamkeit der Anwendung.
• Erfassen Sie Offload-Artefakte.

Debug-Checkliste

Verwenden Sie diesen Workflow:

1. Behalten Sie den TCP-Handshake bei.
2. Bestätigen Sie die ECN-Verhandlung.
3. Überprüfen Sie das IP-ECN-Feld.
4. Finden Sie CE-gekennzeichnete Pakete.
5. Finden Sie ECE-Antworten.
6. Finden Sie die Antwort des CWR-Absenders.
7. Vergleichen Sie den Durchsatz vor und nach den Markierungen.
8. Überprüfen Sie erneute Übertragungen separat.
9. Vergleichen Sie Pfade über VPN oder Load Balancer.
10. Vorher/nachher ECN-aktivierte Erfassungen beibehalten.

Endgültige Diagnose

Die TCP-ECN-Analyse erklärt Überlastung ohne Paketverlust. Der Beweis liegt in der ECN-Verhandlung, den CE-Kennzeichnungen, den ECE-Flaggen, den CWR-Flaggen und der Antwort des Absenders.

PCAP Surgery hilft dabei, den Handshake, die markierten Pakete und das Antwortfenster zusammenzuhalten, sodass das ECN-Verhalten nicht mit zufälligem langsamem Durchsatz verwechselt wird.