我正在使用tcpdump捕获HTTP流量，并对TCP缓慢启动以及窗口大小如何增加感兴趣:
$ sudo tcpdump -i eth1 -w wget++.tcpdump tcp and port 80
当我使用Wireshark查看转储文件时，窗口大小的进度看起来很正常，即5840、5888、5888、8756、11264等。
但是当我通过查看转储文件时
$ tcpdump -r wget++.tcpdump -tnN | less
我得到的似乎是无意义的窗口大小(为简洁起见，省略了IP地址):
: S 1069713761:1069713761(0) win 5840 <mss 1460,sackOK,timestamp 24220583 0,nop,wscale 7>
: S 1198053215:1198053215(0) ack 1069713762 win 5672 <mss 1430,sackOK,timestamp 2485833728 24220583,nop,wscale 6>
: . ack 1 win 46 <nop,nop,timestamp 24220604 2485833728>
: . 1:1419(1418) ack 1 win 46 <nop,nop,timestamp 24220604 2485833728>
: P 1419:2002(583) ack 1 win 46 <nop,nop,timestamp 24220604 2485833728>
: . ack 1419 win 133 <nop,nop,timestamp 2485833824 24220604>
: . ack 2002 win 178 <nop,nop,timestamp 2485833830 24220604>
有没有办法在命令行上获得正常/绝对窗口大小？
最佳答案
窗口大小是正确的-它们只是未缩放。
连接启动器已将wscale(窗口缩放因子)设置为7，因此必须将其后续win值乘以128以获取窗口大小(以字节为单位)。因此，win 46指示5888字节的窗口。
连接接收者已将wscale设置为6，因此其win值必须乘以64。因此win 133表示一个8512字节的窗口，而win 178表示11392字节。
关于linux - Wireshark和tcpdump -r : strange tcp window sizes，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/3254574/