2026-06-03

TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs

تشخيص خيارات TCP SACK وDSACK وsack_perm في Wireshark PCAPs. ويغطي الإقرارات الانتقائية واسترداد فقدان الحزم وإعادة الترتيب وتكرار ACKs وعمليات إعادة الإرسال الزائفة.

يصبح تحليل إعادة إرسال TCP أكثر دقة عند توفر الإقرار الانتقائي. يبحث المستخدمون عن "TCP SACK pcap" و"DSACK Wireshark" و"duplicate SACK" و"إعادة الإرسال الزائف" و"إعادة ترتيب TCP مقابل فقدان الحزمة" و"التقاط حزمة ACK انتقائية" عندما يُظهر التتبع ACKs مكررة وعمليات إعادة إرسال وحزم خارج الترتيب ولكن السبب الجذري غير واضح.

تعتبر جراحة PCAP مفيدة لأن دليل SACK يتم تنفيذه في خيارات TCP. إذا قمت بقص الحزم الخاطئة، أو فقدت المصافحة، أو فصلت ACKs عن البيانات، يصبح التشخيص أضعف.

ما يضيفه SACK

تتعرف ACKs TCP التقليدية على البايت المتوقع التالي. إذا كان هناك جزء مفقود ولكن وصلت أجزاء لاحقة، فيمكن للمتلقي الاستمرار في إقرار الفجوة فقط.

يتيح SACK للمتلقي أن يقول: "ما زلت أفتقد هذا النطاق السابق، ولكنني تلقيت هذه النطاقات اللاحقة."

وهذا يساعد على التمييز:

فقدان الحزمة الفعلي
التسليم خارج الترتيب.
الحزم المكررة.
سلوك المتلقي
سلوك استرداد المرسل.

يجب التفاوض على SACK

يتم التفاوض على قدرة SACK في SYN وSYN-ACK. إذا بدأ الالتقاط بعد المصافحة، فقد لا تعرف ما إذا كان SACK مسموحًا به أم لا.

احفظ دائمًا:

SYN.
SYN-ACK.
خيار SACK المسموح به.
خيار مقياس النافذة.
خيار الطابع الزمني إذا كان موجودا.

وهذا هو السبب في أن "غطاء صغير الحجم حول إعادة الإرسال" قد لا يكون كافيًا.

تكرار ACKs مع كتل SACK

الإقرارات المكررة لا تعني جميعها نفس الشيء. يمكن لـ ACK المكرر مع كتل SACK إخبار المرسل بالضبط بنطاقات البايت اللاحقة التي وصلت.

أدلة للتفتيش:

رقم الاقرار.
كيس الحافة اليسرى والحافة اليمنى.
كتل SACK المتكررة.
معلومات كيس جديدة.
ما إذا كانت البيانات المفقودة ستظهر لاحقًا.
ما إذا كانت إعادة الإرسال تملأ الفجوة.

وهذا أقوى بكثير من مجرد حساب الإقرارات المكررة.

فقدان الحزمة مقابل إعادة الترتيب

إذا وصل مقطع متأخرًا ولكن لم يتم فقده، فقد يُظهر SACK أن البيانات اللاحقة قد تم استلامها بالفعل. قد يقوم المرسل بإعادة الإرسال، ومن ثم قد تصل الحزمة الأصلية أيضًا. يمكن أن يبدو ذلك فوضويًا.

أسئلة:

هل وصل الجزء الأصلي متأخرا؟
هل وصلت إعادة الإرسال أولاً؟
هل أبلغت DSACK لاحقًا عن بيانات مكررة؟
هل هناك مسار يعيد ترتيب الحزم؟
هل تعبر الدفقات روابط أو أنفاقًا أو مسارات متوازنة التحميل؟

يمكن أن تساعد جراحة PCAP في عزل نطاق التسلسل الدقيق ومقارنة ترتيب الحزم.

ماذا يعني DSACK

يمكن لـ Duplicate SACK الإبلاغ عن تلقي بيانات مكررة. وهذا مفيد لتحديد عمليات إعادة الإرسال الزائفة أو إعادة الترتيب.

قد تشير أدلة DSACK إلى:

أعاد المرسل إرسالها دون داع.
قامت الشبكة بتسليم البيانات الأصلية في وقت متأخر.
شهدت نقطة الالتقاط التكرارات.
حصل جهاز الاستقبال على كل من البايتات الأصلية والمعاد إرسالها.
الحزم المكررة في Middlebox.

وهذا استنتاج مختلف عن عبارة "فقدت الحزمة".

إعادة الإرسال الزائفة

إعادة الإرسال ليست دائمًا دليلاً على الخسارة. قد يتم تشغيله عن طريق:

Reordering.
تأخر سلوك ACK.
التقاط التحف التفريغ.
مهلة إعادة الإرسال صغيرة جدًا.
ضغط ACK.
توقيت المحاكاة الافتراضية.
عدم تماثل المسار.

تساعد SACK وDSACK في إثبات ما إذا كانت البيانات مفقودة بالفعل أو متأخرة.

نقطة الالتقاط مهمة

إذا كان pcap أحادي الجانب أو تم أخذه خلف NAT، فقد يكون تفسير SACK أمرًا صعبًا. قد تكون الحزمة غائبة عن نقطة الالتقاط الخاصة بك ولكنها موجودة في جهاز الاستقبال.

ممارسة مفيدة:

قارن بين اللقطات من جانب المرسل والمستقبل.
حافظ على مزامنة الطوابع الزمنية.
الحفاظ على أرقام التسلسل.
تجنب قطع حزم ACK فقط.
لاحظ موقع التفريغ والتقاط.

تحليل SACK بدون حزم ACK ليس تحليلاً.

قائمة التحقق من التصحيح

استخدم سير العمل هذا:

احتفظ بمصافحة TCP.
تأكيد السماح بـ SACK.
ابحث عن أول نسخة ACK مكررة.
فك رموز كتل SACK.
تعيين نطاقات SACK لحزم البيانات.
تحديد نطاقات التسلسل المعاد إرسالها.
تحقق من وجود DSACK.
خسارة منفصلة عن إعادة الطلب.
تحقق من نقطة الالتقاط وسياق التفريغ.
الاحتفاظ بالحزم قبل/بعد حدث الاسترداد.

التشخيص النهائي

يوفر TCP SACK وDSACK دليلاً دقيقًا على فقدان الحزم وإعادة الترتيب والتسليم المكرر وعمليات إعادة الإرسال الزائفة. المفتاح هو الحفاظ على خيارات المصافحة، وحزم ACK فقط، وكتل SACK، ونطاقات التسلسل المعاد إرسالها.

تساعد جراحة PCAP في الحفاظ على سلامة هذه الأدلة حتى يتمكن تحليل فقدان TCP من تجاوز أعداد ACK المكررة العامة.

إجابة مبنية على الحزم لموضوع «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs»

الإجابة المباشرة هي أن label في أداة التحليل أو رسالة التطبيق لا تكفي لتحديد السبب. ابدأ بنقطة الالتقاط واتجاه التدفق، ثم أثبت آخر حد بروتوكول نجح وأول حد فشل. في «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs» يجب أن يستطيع مراجع آخر العثور على packet أو gap أو interval الذي يدعم الجملة، وأن يعرف ما الذي يمكن أن ينفيها.

ضع الالتقاط على خريطة المسار

سجّل client وserver وأي proxy أو load balancer أو NAT أو firewall بينهما. اكتب interface ومكان الالتقاط والساعة ونظام التشغيل وهل ترى الاتجاهين. capture قرب client يثبت ما وصل إلى client، لكنه لا يثبت أن server لم يرسل شيئًا. capture قرب server يثبت الإرسال عند تلك النقطة، لكنه لا يثبت عبور المسار. إذا اختلف ملفان من نقطتين، صحّح clock offset وطابق flow tuple وTCP sequence أو معرف المعاملة قبل مقارنة الزمن.

تحقق من سلامة القياس: snap length، dropped packets، offload، capture filter،حدود ring buffer ووقت البدء. checksum غير الصحيح في capture على host قد يكون offload artifact. segment كبير قد يكون نتيجة GRO/TSO وليس packet واحدًا على السلك. packet غائب من ملف محدود لا يصبح network loss قبل إثبات أن نقطة القياس كان يجب أن تراه.

اقرأ الحدود بالترتيب

الحد	دليل النجاح	دليل الفشل المفيد
Link وIP	الاتجاه والعناوين والمسار متسقة	ARP/NDP مفقود، ICMP، MTU أو asymmetry
TCP	SYN وSYN-ACK وACK مع sequence صحيح	retransmission أو RST أو zero window أو timeout
TLS	ClientHello وServerHello وتقدم handshake	alert أو SNI/ALPN/certificate boundary
التطبيق	request كامل ورد مرتبط به	status أو gap أو إغلاق قبل الرد
تجربة المستخدم	زمن الاستجابة أو failure window	stall مرتبط بحد مثبت

توقف عند أول حد بلا دليل نجاح. إذا لم يكتمل TCP، لا تبدأ بتفسير HTTP. إذا وصل request إلى proxy ولم يظهر على upstream، فالحد يقع داخل proxy أو مساره. إذا وصل إلى upstream ولم يظهر response قبل policy timeout، افصل application delay عن فقد network بالنظر إلى ACK والتقدم في bytes.

افصل الملاحظة عن الفرضية

الملاحظة قابلة للإشارة: «أرسل client bytes حتى sequence محدد، ثم كرر المرسل segment ثلاث مرات ولم يصل ACK متقدم عند نقطة الرصد». الفرضية هي «المسار أسقط segment». قد تنفيها capture أخرى ترى ACK أو تظهر أن نقطة الالتقاط فقدت records. اكتب لكل فرضية دليلًا مؤيدًا ودليلًا يمكن أن يرفضها.

لا تجعل كلمة retransmission أو duplicate ACK حكمًا على المالك. reordering وloss وcapture artifact وreceiver delay قد تنتج علامات متشابهة. اربط direction وsequence وACK وSACK وRTT وwindow ووقت التطبيق. وفي DNS أو DHCP اربط transaction ID والعناوين والمحاولات، وفي HTTP اربط request/response، وفي TLS اربط اتجاه handshake بدل الاعتماد على لون packet.

حافظ على الأصل قبل التحرير

احسب checksum للملف الأصلي واجعله read-only في القضية. أنشئ working copy للتصفية والقص وإخفاء البيانات. سجّل كل عملية: المدخل، نوع التحويل، وقت التنفيذ، packet count قبل وبعد، checksum الناتج وسبب التغيير. إذا عدّلت timestamp أو حذفت packet، اذكر أن النسخة لم تعد مناسبة لقياس بعض التوقيت أو التسلسل.

عند إخفاء البيانات، استبدل addresses وidentifiers بصورة ثابتة حتى يبقى نفس endpoint قابلًا للتتبع. لا تحذف ports أو directions أو lengths إذا كانت ضرورية للحكم. افصل secret mapping عن التقرير المشترك. استخدم نطاق الالتقاط والتصدير لمراجعة حدود الملف، ونظرة PCAP Surgery العامة لتسليم نسخة مشتقة مع سجل قابل للتدقيق.

QA قبل نشر الإجابة

اسأل: هل العنوان والجواب يتناولان flow نفسه؟ هل كل زمن يذكر الساعة المستخدمة ونقطتي القياس؟ هل أول failure boundary محدد؟ هل alternative explanation مكتوبة؟ هل يمكن إعادة الاختبار بتغيير واحد؟ هل الأصل محفوظ؟ الإجابة الجيدة تحدد أيضًا حدودها: «يثبت هذا الملف سلوكًا قرب client خلال interval محدد؛ لا يثبت ما حدث داخل server».

كلمات Semrush لا تُوزع آليًا على المقالات. العبارة العامة الموثقة PCAP analyzer يملكها مسار المنتج وحده؛ هذه الصفحة تبقى على سؤالها التقني ولا تدعي volume أو KD غير موجود.

إجابة مباشرة وحدود القبول

الإجابة المختصرة عن «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs» هي: تشخيص خيارات TCP SACK وDSACK وsack_perm في Wireshark PCAPs. ويغطي الإقرارات الانتقائية واسترداد فقدان الحزم وإعادة الترتيب وتكرار ACKs وعمليات إعادة الإرسال الزائفة. تعامل مع هذه العبارة كنتيجة يجب التحقق منها، لا كوعد ينطبق على كل إدخال أو جهاز أو مشروع أو بيئة. النتيجة المكتملة تسجل الحالة الأولية والإجراء الدقيق والمخرج المرئي والشرط الذي يثبت اكتمال المهمة في PCAP Surgery.

إجراء يبدأ من الأدلة

ابدأ بحالة صغيرة قابلة للتكرار قبل تغيير مشروع كامل. سجل إصدار التطبيق ونظام التشغيل وهوية الإدخال أو الجهاز والإعدادات المهمة والنتيجة المتوقعة. نفذ إجراءً واحدًا مقصودًا، واحتفظ بأول انتقال غير متوقع، وقارنه بحالة سليمة معروفة إن توفرت. تغيير عدة عناصر معًا يخفي الشرط الذي أنشأ المشكلة أو أصلحها.

نقطة التحقق 1: TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sackperm وإعادة الإرسال في PCAPs

تعامل مع «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs» كبوابة قبول مستقلة لموضوع «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs». سجل الحالة قبل الإجراء وأول تغير ظاهر والحالة النهائية. إذا اختلفت النتيجة عن الهدف الموصوف، فارجع إلى آخر نقطة مؤكدة بدل الاستمرار اعتمادًا على افتراضات.

نقطة التحقق 2: تشخيص خيارات TCP SACK وDSACK وsackperm في Wireshark PCAPs. ويغطي الإقرارات الانتقائية واست

حوّل «تشخيص خيارات TCP SACK وDSACK وsack_perm في Wireshark PCAPs. ويغطي الإقرارات الانتقائية واسترداد فقدان الحزم وإعادة الترتيب وتكرار ACKs وعمليات إعادة ا» إلى عبارة نجاح أو فشل يستطيع شخص آخر تكرارها. حدد ما يجب أن يظهر وما يجب أن يغيب وما إجراء الاستعادة الآمن. اترك المشروع أو الالتقاط الأصلي دون تغيير حتى تجتاز النسخة المصححة الاختبار نفسه.

نقطة التحقق 3: ما يضيفه SACK

تعامل مع «ما يضيفه SACK» كبوابة قبول مستقلة لموضوع «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs». سجل الحالة قبل الإجراء وأول تغير ظاهر والحالة النهائية. إذا اختلفت النتيجة عن الهدف الموصوف، فارجع إلى آخر نقطة مؤكدة بدل الاستمرار اعتمادًا على افتراضات.

نقطة التحقق 4: يجب التفاوض على SACK

حوّل «يجب التفاوض على SACK» إلى عبارة نجاح أو فشل يستطيع شخص آخر تكرارها. حدد ما يجب أن يظهر وما يجب أن يغيب وما إجراء الاستعادة الآمن. اترك المشروع أو الالتقاط الأصلي دون تغيير حتى تجتاز النسخة المصححة الاختبار نفسه.

نقطة التحقق 5: تكرار ACKs مع كتل SACK

تعامل مع «تكرار ACKs مع كتل SACK» كبوابة قبول مستقلة لموضوع «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs». سجل الحالة قبل الإجراء وأول تغير ظاهر والحالة النهائية. إذا اختلفت النتيجة عن الهدف الموصوف، فارجع إلى آخر نقطة مؤكدة بدل الاستمرار اعتمادًا على افتراضات.

نقطة التحقق 6: فقدان الحزمة مقابل إعادة الترتيب

حوّل «فقدان الحزمة مقابل إعادة الترتيب» إلى عبارة نجاح أو فشل يستطيع شخص آخر تكرارها. حدد ما يجب أن يظهر وما يجب أن يغيب وما إجراء الاستعادة الآمن. اترك المشروع أو الالتقاط الأصلي دون تغيير حتى تجتاز النسخة المصححة الاختبار نفسه.

نقطة التحقق 7: ماذا يعني DSACK

تعامل مع «ماذا يعني DSACK» كبوابة قبول مستقلة لموضوع «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs». سجل الحالة قبل الإجراء وأول تغير ظاهر والحالة النهائية. إذا اختلفت النتيجة عن الهدف الموصوف، فارجع إلى آخر نقطة مؤكدة بدل الاستمرار اعتمادًا على افتراضات.

نقطة التحقق 8: إعادة الإرسال الزائفة

حوّل «إعادة الإرسال الزائفة» إلى عبارة نجاح أو فشل يستطيع شخص آخر تكرارها. حدد ما يجب أن يظهر وما يجب أن يغيب وما إجراء الاستعادة الآمن. اترك المشروع أو الالتقاط الأصلي دون تغيير حتى تجتاز النسخة المصححة الاختبار نفسه.

نقطة التحقق 9: نقطة الالتقاط مهمة

تعامل مع «نقطة الالتقاط مهمة» كبوابة قبول مستقلة لموضوع «TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sack_perm وإعادة الإرسال في PCAPs». سجل الحالة قبل الإجراء وأول تغير ظاهر والحالة النهائية. إذا اختلفت النتيجة عن الهدف الموصوف، فارجع إلى آخر نقطة مؤكدة بدل الاستمرار اعتمادًا على افتراضات.

نقطة التحقق 10: قائمة التحقق من التصحيح

حوّل «قائمة التحقق من التصحيح» إلى عبارة نجاح أو فشل يستطيع شخص آخر تكرارها. حدد ما يجب أن يظهر وما يجب أن يغيب وما إجراء الاستعادة الآمن. اترك المشروع أو الالتقاط الأصلي دون تغيير حتى تجتاز النسخة المصححة الاختبار نفسه.

مصفوفة القبول

النقطة	الدليل الواجب حفظه	شرط النجاح
TCP SACK وDSACK في Wireshark: تشخيص فقدان الحزمة وخيار sackperm وإعادة الإرسال في PCAPs	الحالة الأولية وإجراء واحد والحالة الناتجة	يستطيع مشغل ثان تكرار النتيجة
تشخيص خيارات TCP SACK وDSACK وsackperm في Wireshark PCAPs. ويغطي الإقرارات الانتقائية واسترداد فقدان الحزم وإعادة الترتي	الحالة الأولية وإجراء واحد والحالة الناتجة	يستطيع مشغل ثان تكرار النتيجة
ما يضيفه SACK	الحالة الأولية وإجراء واحد والحالة الناتجة	يستطيع مشغل ثان تكرار النتيجة
يجب التفاوض على SACK	الحالة الأولية وإجراء واحد والحالة الناتجة	يستطيع مشغل ثان تكرار النتيجة
تكرار ACKs مع كتل SACK	الحالة الأولية وإجراء واحد والحالة الناتجة	يستطيع مشغل ثان تكرار النتيجة
فقدان الحزمة مقابل إعادة الترتيب	الحالة الأولية وإجراء واحد والحالة الناتجة	يستطيع مشغل ثان تكرار النتيجة

عزل الفشل والاستعادة والتسليم

توقف عند أول حد يفشل. احتفظ بالمصدر أو المشروع أو الجلسة أو الالتقاط، وأنشئ نسخة قبل التحرير المدمر، وغيّر متغيرًا واحدًا في كل تجربة. إعادة سير واسع بعد عدة تغييرات قد تعطي نتيجة مختلفة من دون تفسير السبب.

افصل غياب الدليل عن دليل الغياب. قد تعني الشاشة الفارغة إدخالًا أو نطاقًا أو مرشحًا أو صلاحية أو جهازًا أو فترة أو حالة مشروع خاطئة. أثبت مسار الالتقاط أو الاستيراد قبل تفسير decoder أو المحرر أو التقرير أو التصدير.

قبل التسليم، أعد فتح الأثر الدائم وافحص بدايته ونقطة القرار ونهايته. سجل الإصدار والمنصة والإعداد والتوقع والملاحظة وأصغر إعادة إنتاج. احذف البيانات الحساسة أو احجبها وتأكد من أن المستلم مخول.

أسئلة وأجوبة

ما أسرع بداية موثوقة؟

استخدم أصغر حالة ممثلة، واكتب النتيجة المتوقعة، وغيّر متغيرًا واحدًا. أثبت المسار الأساسي قبل إضافة المرشحات أو التأثيرات أو التعديلات أو الأتمتة أو مصدر أكبر.

ما الأدلة التي ينبغي حفظها؟

احتفظ بهوية الإدخال والإصدار والمنصة والإعدادات والإجراء الدقيق وأول انتقال غير متوقع والمخرج النهائي. أغلق المشروع أو الجلسة أو التقرير أو التصدير وأعد فتحه.

متى يجب تكرار الإجراء؟

كرره بعد تغيير مؤثر في التطبيق أو النظام أو driver أو firmware أو النموذج أو المصدر أو سير العمل. احتفظ بالحالة المقبولة السابقة كأساس مقارنة دون تعديل.

متى تصبح المهمة جاهزة للتسليم؟

عندما يستطيع شخص مخول آخر تحديد الإدخال وتكرار الإجراء ورؤية النتيجة نفسها وفهم القيود وفتح الأثر المحفوظ دون الاعتماد على حالة محلية غير موثقة.

أدلة مرتبطة

تغطي الصفحات التالية باللغة نفسها المراحل المجاورة من دون تغيير المالك القانوني لهذا الموضوع: