纯 ACK 密集场景解读

大量 tcp.len==0 的确认包：可能是双向小消息（聊天/交易）、延迟 ACK 凑包策略，或系统对每个段都确认；结合载荷与方向判断是否正常。

用途	解释"全是 Ack"的流量构成
观察	tcp.len == 0 占比、间隔、方向

过滤统计

tcp.len == 0 && tcp.flags.ack == 1
tcp.len == 0 && !tcp.analysis.duplicate_ack
tshark -r a.pcap -Y 'tcp.len==0' | wc -l

纯 ACK 本身开销有限；异常的是确认与数据比例失衡（如确认风暴伴随重传）。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌