Kurze Frage zu Wireshark

[*Markus]

Hallo,

ich hätte eine Netzwerk bezogene Frage.
Ich habe einen Wireshark-Trace und lasse mir "Delta Time" (Die Zeit, die zwischen zwei Frames vergeht) und "Delta Time Displayed" als Spalte einblenden. Die beiden Eigenschaften sind immer gleich.
Wähle ich nun bei jenem GET, wo die gewünschte Webseite angefordert wird, "Follow TCP Stream" bekomme ich bei manchen Zeilen zwischen Delta Time und Delta Time Displayed unterschiedliche Werte. Dabei hat Delta Time Displayed plötzlich einen Wert von über 120 Sekunden.

Zum Hintergrund: Ursprünglich sollte ein Hängenbleiben des Browsers bei einer bestimmten Webseite (mit SSL) analysiert werden. Da ich aber kein Netzwerktechniker bin, fällt es mir schwer, das Anylysierte zu interpretieren.

Markus

[Der Martin]

Hi,

Ich habe einen Wireshark-Trace und lasse mir "Delta Time" (Die Zeit, die zwischen zwei Frames vergeht) und "Delta Time Displayed" als Spalte einblenden. Die beiden Eigenschaften sind immer gleich.

sollten sie, solange alle Pakete angezeigt werden. Sie unterscheiden sich, wenn Pakete weggefiltert werden. Dann ist Delta Time die Zeitspanne seit dem letzten protokollierten Paket, Delta Time Displayed die Spanne seit dem letzten *angezeigten* Paket. Theoretisch.

Wähle ich nun bei jenem GET, wo die gewünschte Webseite angefordert wird, "Follow TCP Stream" bekomme ich bei manchen Zeilen zwischen Delta Time und Delta Time Displayed unterschiedliche Werte.

Dann wird Wireshark dieses Feature wohl realisieren, indem es automatisch einen Filter setzt. Anscheinend werden in der gefilterten Anzeige jedoch die Delta-Zeiten falsch berechnet.

Dabei hat Delta Time Displayed plötzlich einen Wert von über 120 Sekunden.

Und deine Übertragung hängt gewiss keine 2 Minuten.

Zum Hintergrund: Ursprünglich sollte ein Hängenbleiben des Browsers bei einer bestimmten Webseite (mit SSL) analysiert werden.

Ah, möglicherweise doch?

Da ich aber kein Netzwerktechniker bin, fällt es mir schwer, das Anylysierte zu interpretieren.

Ja, solange die Probleme nicht wirklich offensichtlich sind, ist es sehr schwierig.

So long,
 Martin

[*Markus]

Hallo,

danke für deine Antwort. Mir ist noch nicht ganz klar, was "letztes angezeigtes Paket" in Bezug auf den Netzwerktraffic bedeutet. Wann wird ein Paket protokolliert und wann *nur* angezeigt?

Interpretiere ich folgenden Sachverhalt nun richtig so:

Vorgehen....
Ich gebe bei den Filtern den String "http" ein.
Die Anzeige des Traces beschränkt sich nun auf wenige Zeilen.
In einer dieser Zeilen mit einem GET /servlet/... habe ich bei Delta Time 0.000995. Bei Delta Time DIsplayed allerdings 532.122332.

Heißt das nun, dass bei der Datenübertragung dieses Servlets diese quasi Endlosladezeit von 532 Sekunden entsteht?

Markus

[Der Martin]

Hallo Markus,

danke für deine Antwort. Mir ist noch nicht ganz klar, was "letztes angezeigtes Paket" in Bezug auf den Netzwerktraffic bedeutet. Wann wird ein Paket protokolliert und wann *nur* angezeigt?

wie gesagt, das ist relevant, wenn nachträglich (also nach der Aufzeichnung) ein Filter gesetzt wird. Wenn du beispielsweise mehrere Minuten den Netzwerkverkehr aufzeichnest, dann sind da vermutlich auch interne Geschichten aus deinem LAN dabei, DNS-Queries, ARP, vielleicht pupst auch der Mailclient mal mit IMAP oder POP3 dazwischen.
Diese Pakete zeichnet Wireshark normalerweise alle mit auf.

Vorgehen....
Ich gebe bei den Filtern den String "http" ein.

Dann werden alle Nicht-HTTP-Pakete in der Anzeige unterdrückt (im gespeicherten Protokoll sind sie aber dennoch vorhanden).

Die Anzeige des Traces beschränkt sich nun auf wenige Zeilen.
In einer dieser Zeilen mit einem GET /servlet/... habe ich bei Delta Time 0.000995. Bei Delta Time DIsplayed allerdings 532.122332.

Das heißt nichts anderes, als dass rund 1ms vor diesem Paket ein weiteres (im Moment nicht angezeigtes) Paket aufgezeichnet wurde. Das letzte Paket, das tatsächlich angezeigt wird (weil es auf den HTTP-Filter zutrifft), liegt dagegen fast 9 Minuten zurück.

Heißt das nun, dass bei der Datenübertragung dieses Servlets diese quasi Endlosladezeit von 532 Sekunden entsteht?

Nein. Ich glaube, du interpretierst die Zeitangabe falsch: Es ist nicht die Übertragungsdauer oder die Zeitspanne zwischen Request und Response. Es ist einfach der zeitliche Abstand zweier Datenpakete, die nicht unbedingt etwas miteinander zu tun haben müssen - außer dass sie "zufällig" zeitlich nacheinander aufgetreten sind.
So, als ob ich gerade an einer Autobahnausfahrt vorbeifahre und zu meinem Beifahrer sage: Die vorherige Ausfahrt liegt 6 Kilometer zurück.

So long,
 Martin

[*Markus]

Hallo,

ok, offensichtlich habe ich die Angabe wirklich falsch interpretiert. Ich würde aber trotzdem gerne noch wissen, wie ich in Wireshark beobachten kann, ob ein Request oder Response zu einer quasi endlosen Ladezeit führt, damit die Ursache besser eingegrenzt werden kann.
Würde dabei eine große "Delta Time" das Problem identifizieren?

Markus