RTT (Round Trip Time)

RTT (Round Trip Time, czas w obie strony) to czas, jaki upływa od wysłania pakietu do odebrania potwierdzenia, że dotarł. Liczy się więc droga do celu, chwila, w której odbiorca pakiet obsłuży, i droga powrotna. RTT podaje się w milisekundach (ms) i jest podstawową miarą opóźnienia w sieci.

Jak mierzy się RTT?

RTT mierzy się aktywnie albo pasywnie. Pomiar aktywny wysyła własne pakiety testowe (sondy) i liczy czas do odpowiedzi:

• ICMP echo (ping) — najprostszy pomiar: wysyłasz echo request, dostajesz echo reply. Narzędzie pokazuje wartość minimalną, średnią, maksymalną i rozrzut (np. round-trip min/avg/max/stddev = 23.8/26.8/34.9/4.1 ms).
• traceroute/tracert — pokazuje RTT do kolejnych punktów (przeskoków) na trasie. Dzięki temu widać, na którym odcinku opóźnienie rośnie.
• TWAMP (Two-Way Active Measurement Protocol, RFC 5357) i OWAMP — standardowe protokoły do dokładnego, powtarzalnego pomiaru opóźnień i jitteru. Używa się ich do pilnowania umów o poziom usługi (SLA).

Pomiar pasywny odczytuje RTT ze zwykłego ruchu, który i tak płynie przez sieć — bez wysyłania sond. W TCP da się oszacować RTT już z nawiązywania połączenia (tzw. handshake): od wysłania SYN do odebrania SYN-ACK, a potem z par segment danych–ACK. Stos TCP utrzymuje wygładzoną wartość RTT (SRTT) i jej zmienność, a na ich podstawie wylicza RTO (Retransmission Timeout) — czas, po którym uznaje pakiet za zgubiony i wysyła go ponownie.

Czym RTT różni się od latencji (one-way)?

Latencja jednokierunkowa (one-way) to czas dotarcia pakietu tylko z punktu A do punktu B. RTT to droga w obie strony plus czas obsługi po stronie odbiorcy. RTT nie jest więc po prostu podwojoną latencją jednokierunkową: droga tam i z powrotem może biec inaczej (routing asymetryczny), a ruch i kolejki na każdej z nich bywają inne. RTT mierzy się częściej, bo jest prostsze — do rzetelnego pomiaru one-way trzeba dokładnie zsynchronizować zegary po obu stronach, a tu nie trzeba.

Co wpływa na RTT?

• Odległość i opóźnienie propagacji — sygnał w światłowodzie ma skończoną prędkość, więc połączenia między kontynentami z natury mają wyższe RTT.
• Liczba przeskoków i trasa — każdy router coś dokłada; nieoptymalna trasa wydłuża RTT.
• Kolejkowanie i przeciążenie — gdy urządzenie jest obciążone, pakiety czekają w jego buforach (zjawisko bufferbloat).
• Rodzaj łącza — światłowód, miedź i łącze radiowe czy satelitarne mają różne opóźnienia.
• Czas obsługi u odbiorcy — przetworzenie zapytania albo obciążony serwer doliczają się do RTT mierzonego na poziomie aplikacji.

Jak RTT wpływa na przepustowość i TCP?

RTT bezpośrednio ogranicza realną przepustowość połączeń TCP. Ile danych może być „w locie” bez potwierdzenia, wyznacza okno TCP, a teoretyczny pułap przepustowości opisuje iloczyn opóźnienia i pasma (Bandwidth-Delay Product, BDP = pasmo × RTT). Przy wysokim RTT nawet szerokie łącze nie pomoże: pojedyncza sesja TCP nie wykorzysta całego pasma, jeśli okno jest za małe (dlatego istnieją skalowanie okna i kontrola przeciążenia). Wyższe RTT spowalnia też reakcję na utratę pakietów i wydłuża rozkręcanie się połączenia tuż po starcie.

Dlaczego RTT ma znaczenie dla monitoringu i bezpieczeństwa?

W monitoringu sieci i systemach NDR (Network Detection and Response) RTT to nie tylko miara jakości, ale też sygnał diagnostyczny i element telemetrii bezpieczeństwa:

• Wskazanie, gdzie leży problem — rozbicie RTT na odcinek klient–sieć i sieć–serwer pozwala odróżnić kłopot z łączem od przeciążonej aplikacji.
• Wykrywanie anomalii — nagła zmiana RTT może oznaczać przeciążenie, atak DDoS, przekierowanie ruchu (np. przez nieautoryzowane proxy) albo pogorszenie trasy.
• Sygnał zmiany ścieżki — skokowa zmiana RTT do znanego celu bywa objawem zmiany routingu, czasem złośliwej (np. niespodziewane wydłużenie trasy).
• Pomiar pasywny z handshake TCP — daje RTT bez dodatkowego ruchu, co ułatwia obserwację sieci produkcyjnych i analizę trendów w czasie.

Jakie RTT uznaje się za dobre?

To zależy od zastosowania i odległości, ale orientacyjnie: poniżej ~100 ms zwykle jest płynnie, 100–200 ms bywa już zauważalne w aplikacjach czasu rzeczywistego (gry, VoIP, wideokonferencje), a powyżej ~200 ms wyraźnie psuje wrażenia. W sieci lokalnej (LAN) typowe RTT to pojedyncze milisekundy lub mniej. Najlepiej czytać te wartości razem z jitterem (zmiennością RTT) i utratą pakietów.

Dowiedz się więcej

• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — ARP spoofing może zwiększać RTT przez przekierowanie ruchu przez atakującego.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow pomaga analizować ruch, który wpływa na RTT i opóźnienia w sieci.
• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Monitoring sieci pozwala wykrywać wzrost RTT i źródła opóźnień.