定位与判读
定位与判读
tcp.flags.reset == 1
tcp.flags.reset == 1 && ip.src == 10.0.0.5 # 指定方向
tcp.flags.reset == 1 && tcp.flags.ack == 1 # 带 ACK 的 RST（多为进程 abort）
tcp.flags.syn == 1 && tcp.flags.reset == 1 # 少见但重要：对 SYN 直接回 RSTRST 形态
| RST 形态 | 含义 |
|---|---|
| 响应 SYN 的 RST+ACK | 端口无监听（或被防火墙 REJECT） |
| 传输中段 RST | 应用 crash / abort / 主动关闭异常 |
| 长时间空闲后 RST | NAT/SLB 会话老化，或 keepalive 探到死连接 |
| ACK 号异常的 RST | 多为中间设备注入 |
| RST 后立刻有新 SYN | 客户端重试或重连 |
Wireshark 里 RST 的 [SEQ/ACK analysis] 面板会给出「相对序列号」，配合前后文可判断它是响应哪一帧。