Kurze Frage zu Wireshark

[Der Martin]

Hallo Markus,

danke für deine Antwort. Mir ist noch nicht ganz klar, was "letztes angezeigtes Paket" in Bezug auf den Netzwerktraffic bedeutet. Wann wird ein Paket protokolliert und wann *nur* angezeigt?

wie gesagt, das ist relevant, wenn nachträglich (also nach der Aufzeichnung) ein Filter gesetzt wird. Wenn du beispielsweise mehrere Minuten den Netzwerkverkehr aufzeichnest, dann sind da vermutlich auch interne Geschichten aus deinem LAN dabei, DNS-Queries, ARP, vielleicht pupst auch der Mailclient mal mit IMAP oder POP3 dazwischen.
Diese Pakete zeichnet Wireshark normalerweise alle mit auf.

Vorgehen....
Ich gebe bei den Filtern den String "http" ein.

Dann werden alle Nicht-HTTP-Pakete in der Anzeige unterdrückt (im gespeicherten Protokoll sind sie aber dennoch vorhanden).

Die Anzeige des Traces beschränkt sich nun auf wenige Zeilen.
In einer dieser Zeilen mit einem GET /servlet/... habe ich bei Delta Time 0.000995. Bei Delta Time DIsplayed allerdings 532.122332.

Das heißt nichts anderes, als dass rund 1ms vor diesem Paket ein weiteres (im Moment nicht angezeigtes) Paket aufgezeichnet wurde. Das letzte Paket, das tatsächlich angezeigt wird (weil es auf den HTTP-Filter zutrifft), liegt dagegen fast 9 Minuten zurück.

Heißt das nun, dass bei der Datenübertragung dieses Servlets diese quasi Endlosladezeit von 532 Sekunden entsteht?

Nein. Ich glaube, du interpretierst die Zeitangabe falsch: Es ist nicht die Übertragungsdauer oder die Zeitspanne zwischen Request und Response. Es ist einfach der zeitliche Abstand zweier Datenpakete, die nicht unbedingt etwas miteinander zu tun haben müssen - außer dass sie "zufällig" zeitlich nacheinander aufgetreten sind.
So, als ob ich gerade an einer Autobahnausfahrt vorbeifahre und zu meinem Beifahrer sage: Die vorherige Ausfahrt liegt 6 Kilometer zurück.

So long,
 Martin