När en anslutning fastnar kan paketfångsten visa en rad som `IPv4` eller `IPv6`, följd av en massa fält. IP-huvudet talar om var paketet kommer från och vart det ska, men exakt vad du bör granska beror på om felet gäller dirigering, storlek eller fragmentering.
IP-huvudet visar hur paketet ska hanteras på nätet
- Käll- och destinationsadress pekar ut paketets avsändare och mottagare.
- Protocol i IPv4 och Next Header i IPv6 visar vilket protokoll eller vilket tillägg som följer.
- IPv4-huvudet är minst 20 byte; IPv6:s grundhuvud är 40 byte.
- IPv4 har header checksum, medan IPv6 inte har någon motsvarande kontrollsumma i grundhuvudet.
- Vid IPv6-fragmentering delar avsändaren upp paketet; routrar på vägen gör det inte.
Följ fälten från avsändare till nästa protokoll
Ett IP-huvud är paketets adress- och styrinformation. Det hjälper routrar att vidarebefordra paketet, medan mottagaren använder fälten för att förstå hur innehållet ska hanteras. Börja med adresserna, men stanna inte där.
I IPv4 visar Version vilket format som används, och IHL anger huvudets längd i 32-bitarsord. Fältet Protocol identifierar protokollet efter IP, till exempel TCP, UDP eller ICMP. I IPv6 har motsvarande styrfält namnet Next Header; värdet kan peka på ett transportprotokoll eller på ett tilläggshuvud.
Fälten TTL i IPv4 och Hop Limit i IPv6 begränsar hur många routrar paketet kan passera. Routrar minskar värdet på vägen, så ett paket som når noll kastas bort. Det är den mekanism som hindrar ett felroutat paket från att cirkulera för evigt.
IPv4 och IPv6 har olika huvudlängd och kontrollfält
En paketdump kan få IPv6 att se större ut från start: grundhuvudet är 40 byte, medan IPv4 börjar vid 20 byte och kan bli längre när optioner används. Det är alltså IPv4 som har variabel längd i grundformatet.
| Fält eller egenskap | IPv4 | IPv6 |
|---|---|---|
| Grundhuvud | Minst 20 byte, högst 60 byte | 40 byte |
| Fält för nästa protokoll | Protocol | Next Header |
| Hopbegränsning | TTL | Hop Limit |
| Kontrollsumma i IP-huvudet | Header checksum | Ingen i grundhuvudet |
| Optioner och tillägg | Kan ligga i ett längre IPv4-huvud | Hanteras med separata tilläggshuvuden |
Skillnaden i kontrollsumma är lätt att misstolka. IPv4:s checksumma kontrollerar bara IPv4-huvudet, inte paketets nyttolast, medan IPv6 tog bort fältet från grundhuvudet. Därför betyder en saknad IP-kontrollsumma i en IPv6-fångst inte i sig att paketet är felaktigt. RFC 791 beskriver IPv4-formatet, medan RFC 8200 anger IPv6-grundhuvudet och dess tillägg.
Granska fragmenteringen innan du misstänker applikationen
När ett paket är större än nätvägens MTU kan det behöva delas upp. IPv4 använder bland annat fälten Identification, Fragment Offset och flaggorna DF och MF för att hantera fragment. IPv6 använder i stället ett separat Fragment Header när avsändaren fragmenterar.
Här finns en felsökningsdetalj som ofta missas: enligt IPv6-specifikationen är det avsändaren som fragmenterar, inte routrarna längs vägen. Om en IPv6-anslutning fallerar vid stora paket är det därför klokt att undersöka path MTU och ICMPv6-meddelanden om för stora paket, i stället för att leta efter en router som delar upp trafiken. RFC 8900 beskriver också varför IP-fragmentering är känslig och kan skapa driftsproblem.
IPv4-fältet Identification är inte heller ett allmänt unikt paket-ID som du alltid kan använda för att spåra varje paket. RFC 6864 begränsar fältets betydelse till fragmentering och återmontering; för ofragmenterade paket ska det inte användas som säker identitet. Jag tycker att det här är en användbar korrigering när en analys bygger för långtgående slutsatser på ett enda fält.
Använd paketfångsten för att välja nästa felsökningssteg
Fälten blir mest användbara när de kopplas till ett symptom. Tabellen hjälper dig att gå från observation till nästa kontroll utan att behandla varje avvikelse som samma slags fel.
| Situation i paketfångsten | Trolig betydelse | Nästa kontroll |
|---|---|---|
| Destinationsadressen är oväntad | Fel mål, DNS-resultat eller routning kan ligga bakom | Jämför adressen med DNS-svaret och kontrollera routningstabellen |
| TTL eller Hop Limit når noll | Paketet har passerat för många routrar eller fastnat i en routningsloop | Undersök traceroute-resultat och routningsvägar |
| IPv4 visar fragment eller saknade fragment | Paketet har delats upp, eller så saknas en del vid återmontering | Granska Fragment Offset, MF-flaggan och om alla fragment når samma mottagare |
| Stora IPv6-paket följs av anslutningsproblem | Path MTU-upptäckten eller ICMPv6-trafik kan vara blockerad | Kontrollera ICMPv6-meddelanden om paket som är för stora och jämför med nätvägens MTU |
| IPv4-checksumman markeras fel på utgående trafik | Nätverkskortets checksum offload kan påverka vad fångsten visar | Jämför med en fångst på mottagarsidan innan du drar slutsatsen att paketet skickats felaktigt |
I Wireshark kan du filtrera IPv4-trafik med `ip` och IPv6-trafik med `ipv6`, och sedan välja paketet för att fälla ut IP-fälten. Wiresharks fältlista för IPv4 och dess IPv6-motsvarighet hjälper dig att hitta exakta fältnamn när du vill skriva ett mer precist visningsfilter.
Börja med adress, hopgräns och paketstorlek
När ett paket inte kommer fram ger IP-huvudet en praktisk första ordning: kontrollera destinationen, se om TTL eller Hop Limit tar slut och granska därefter storlek och fragmentering. Om du börjar med alla bitfält på en gång är det lätt att fastna i detaljer utan att komma närmare felet.
För en vanlig anslutning räcker det ofta att förstå adresserna, protokollfältet och hopgränsen. Vid MTU-problem blir fragmenteringsfälten och ICMP-meddelandena nästa ledtråd, och det är där skillnaderna mellan IPv4 och IPv6 blir särskilt användbara.