Unterschiedliche Reihenfolge der Pakete in Wireshark vs tcpdump/libpcap?

Question

Ich bemerkte, dass Wireshark für die Übertragung von Ein-Paket-Datei von Remote-FTP-Site zu Localhost unter Linux immer die Pakete in der richtigen Reihenfolge, aber nicht in tcpdump/libpcap oder einfache recvfrom auf RAW_PACKET mit Promiscuous-Modus auf erfassen kann.

In der ersten, die "Transfer abgeschlossen" -Antwort ist immer vor dem einzelnen Datenpaket (in verschiedenen Verbindungen also keine TCP-Neuordnung), aber in letzterem immer das Datenpaket immer zuerst - was eindeutig ist falsch nach dem Protokoll und die Implementierung von FTP-Servern seit "Übertragung abgeschlossen" gesendet wird nach die Daten gesendet werden - und wenn der Client es vor Daten erhalten hat, würde es aufhören auf Datenverbindung zu warten, die nicht passiert, da ich die sehen kann Daten klar. Also fängt die libpcap/tcpdump Pakete in falscher Reihenfolge auf, aber kein solches Problem in Wireshark?

Wie ist das möglich ?? Wireshark verwendet auch libpcap ...

Answer 1

Für FTP-Protokoll Payload wird in separaten TCP-Verbindung übertragen, gibt es keine Versprechen über die Reihenfolge der Pakete in parallelen TCP-Verbindung (tatsächlich gibt es keine Versprechen in der Reihenfolge der Pakete auch in der gleichen TCP-Verbindung, Ihr Gastgeber sollte sie bestellen).

1. Server hat zwei offene Sockets.
2. es schreibt Datei in den Datensockel
3. unmittelbar danach schreibt es "Übertragung abgeschlossen" zu Steuerbuchsen. Der Unterschied zwischen 2 & 3 ist einige Mikrosekunden.
4. Pakete laufen durch das Internet, sie könnten sogar verschiedene Wege wählen
5. Sie kamen zu Ihrer Maschine in zufälliger Reihenfolge.

p.s. Auch die tcpdump-Datei enthält die Anzahl der Pakete und Zeitstempel. Pakete werden nicht unbedingt nach Zeitstempeln sortiert. Wireshark könnte sie beim Anzeigen bestellen, schauen Sie sich das Auftragsfeld an.