今天利用windows查找功能对网络上的一个共享文件夹里的内容进行查找，发现查找网络文件时流量巨大。好奇用wireshark抓包发现 wireshark Info栏里有很多“TCP segment of a reassembled PDU”提示信息。不解百度了一下发现大家都在询问这个问题网上并没有很好的解答。想到“TCP segment of a reassembled PDU”只是wireshark的提示信息，那么在sniffer pro里会给出什么样的提示呢，用sniffer打开同样的trace 发现里面提示“Continuation of missing frame”和"Continuation of frame xx"现在大概知道“TCP segment of a reassembled PDU”是什么意思，其实主机响应一个查询或者命令时如果要回应很多数据（信息）而这些数据超出了TCP的最大MSS时，主机会通过发送多个数据包来传送这些数据（注意：这些包并未被分片）。对wireshark来说这些对相应同一个查询命令的数据包被标记了“TCP segment of a reassembled PDU”
问题，wireshark如何识别多个数据包是对同一个查询数据包的响应? wireshark是根据sequence number来识别，这些数据包ACK number是相同的，当然number的数值与查询数据包中的next sequence number也是一样的。
CIFS/SMB协议对待文件查询效率多么的低下！对待一个文件名的查询要用两个帧长1514字节和一个1294字节的帧长来响应。
参考链接：
http://www.wireshark.org/lists/w ... 00806/msg00047.html
PDU
http://www.mail-archive.com/wire ... k.org/msg04441.html
[
本帖最后由 KIMICN 于 2008-9-23 17:42 编辑 ]
