[Synapse] TCP FIN [TraceMagic|Events]

Home _° SiteMap _° Analyse _° Preise _° Audits _° Software _° Download _° Syn-Wiki _° Kontakt _° Impressum

^TraceMagic ^{Trace Log Events}

TCP FIN

Irregulärer Sitzungs-Abbau
Regulärer Sitzungs-Abbau

Mit TCP-FIN (Final) wird eine TCP-Sitzung regulär beendet,
und zwar in beide Richtungen.

Regulärer Sitzungs-Abbau


[   1]  #    729 ::  192.168.178.1   << 192.168.178.25  :: TCP: ACK             FIN      / Ports: 49000 << 48448 | 0x BF68 << 0x BD40   ::   ::     :: 
[   1]  #    730 ::  192.168.178.25  << 192.168.178.1   :: TCP: ACK             FIN      / Ports: 48448 << 49000 | 0x BD40 << 0x BF68   ::   ::     ::

Irregulärer Sitzungs-Abbau

SessnHangUp = Session Hangup

Wird eine TCP-Sitzung nur von einem der beiden Partner korrekt mit TCP-FIN beendet,
wird von "half close" gesprochen.

Jedes Sitzungs-Ende, das nicht ein beiderseitiges TCP-FIN enthält, ist irregulär.

Die Folge ist oft, dass erst nach einem TCP-Timeout ein TCP-RST nachgeschoben wird -
mit der weiteren Folge, dass beim Laden von HTML-Seiten (WWW), die viele Grafiken
enthalten und die deshalb viele TCP-Sessions erfordern (jede Datei eine Session),
viele TCP-Timeouts sich anhäufen, was Anwender als "World Wide Waiting" verspotten,
ohne zu wissen, dass der Fehler nicht im langsamen Internet liegt, sondern an
Fehlern des Sitzungs-Abbaus (ggf. sogar am eigenen PC).

Die erste Variante ist häufig zu beobachten:
Der eine Dialog-Partner sendet korrekt TCP-FIN,
der andere antwortet mit TCP RST.


[   1]  #   1584 ::  192.168.128.28  << 192.168.128.1   :: TCP: ACK             FIN      / Ports:  4447 << 49000 | 0x 115F << 0x BF68   ::   ::     :: 
.
[   1]  #   1586 ::  192.168.128.1   << 192.168.128.28  :: TCP:                     RST  / Ports: 49000 <<  4447 | 0x BF68 << 0x 115F   :: · :: *** :: 
[   1]  #   1586 ::  192.168.128.1   << 192.168.128.28  :: TCP: SessnHangUp FIN --> RST  / Ports: 49000 <<  4447 | 0x BF68 << 0x 115F   :: · :: *** ::

Die folgende Variante zeigt einen Abbruch der ungewöhnlichen Sorte:
IP = 64.16.89.15 hat nichts Böses getan,
und dennoch bricht IP = 192.168.128.28 ab.


[   1]  #    767 ::  64.16.89.15     << 192.168.128.28  :: TCP: ACK PSH         FIN      / Ports:  7070 <<  4437 | 0x 1B9E << 0x 1155   ::   ::     :: 
.
[   1]  #    773 ::  64.16.89.15     << 192.168.128.28  :: TCP:                     RST  / Ports:  7070 <<  4436 | 0x 1B9E << 0x 1154   :: · :: *** :: 
[   1]  #    773 ::  64.16.89.15     << 192.168.128.28  :: TCP: SessnHangUp FIN --> RST  / Ports:  7070 <<  4436 | 0x 1B9E << 0x 1154   :: · :: *** ::

Erzeugt am (Datum/Uhrzeit): 2012-05-15 / 00:28:02 ... via SYNcreator


	"Auf den ersten Blick sehen, was ist."
"Sie zeichnen auf, wir werten aus"