| 用途 | 标准化建连失败定位路径 |
|---|---|
| 工具 | 两端抓包 + ss -lnt + 防火墙会话表 |
步骤对照
| 观测点 | 证据 | 结论方向 |
|---|---|---|
| 本机发出 SYN | 客户端抓包 | 应用 DNS/路由/端口选择正常 |
| 对端收到 SYN | 服务端抓包 | 路径无丢包或策略拦截 |
| 响应 RST/SYN-ACK | 双向抓包 | 服务状态与队列 |
建议顺序
建议顺序
1) 客户端抓包确认发起与重传
2) 服务端抓包确认收到与否
3) 核对监听、策略、路由与会话表
4) 复测并留存两份 pcap每步只回答一个问题，避免"一次抓包解释所有现象"。
本包目录（400 条）
tcpdump 过滤实战51 条Wireshark 技巧75 条
TCP 流分析82 条
- TCP 三次握手判读
- TCP 四次挥手判读
- TCP 握手 SYN 重传
- TCP RST 来源判断
- TCP 抓不到 SYN-ACK 的原因
- TCP TIME_WAIT 状态理解
- TCP 超时重传 RTO 判读
- TCP CLOSE_WAIT 堆积排查
- TCP 快速重传判读
- TCP ACK 号判读
- TCP 连接被拒绝判读
- TCP RTT 测量方法
- TCP 重复 ACK 的语义
- TCP 零窗口与恢复
- TCP 半开连接判读
- TCP 乱序判读
- TCP Keep-Alive 机制
- TCP MSS 协商与影响
- tcp.analysis 字段速查汇总
- TCP 超时与拒绝的区别
- 从 tcpdump 输出判读 TCP 异常
- TCP SACK 选择性确认
- TCP 窗口更新判读
- TCP 拥塞控制概览
- TCP 抓包的两端视角差异
- TCP RST 常见触发场景
- TCP 窗口缩放协商
- TCP 流编号管理
- TCP 粘包与消息边界
- TCP 建连失败排查流程
- TCP 校验和 incorrect 解读
- Nagle 算法与延迟交互
- TCP SYN 洪泛特征识别
- TCP 长连接空闲断链
- TCP 报文 DF 位与路径探测
- TCP 路径 MTU 黑洞
- TCP 吞吐估算与瓶颈判断
- TCP 排障检查单
- TCP 窗口探测判读
- TCP Window Full 标记
- TCP 相对序列号显示
- 延迟 ACK 判读
- TCP RTO 计算与观察
- TCP 握手慢：accept 队列视角
- TCP 重传率统计与评估
- TCP 慢启动观察
- TCP 在途字节与发送窗口
- TCP 段与报文重组
- TCP 时间戳选项
- TCP 半关闭状态处理
- FIN_WAIT 状态机速览
- TCP 连接复用异常排查
- TCP 流中的 IP 分片
- MTU 问题在 TCP 层的症状
- 丢包与乱序的区分方法
- 握手延迟的分解方法
- TCP 虚假重传识别
- TCP 临时端口与耗尽
- TCP 分析结论的组织方式
- 从抓包到参数调整的闭环
- TCP Fast Open 识别
- TCP FIN 重传判读
- RST 关闭与 SO_LINGER
- SYN 队列与半连接
- 中间盒改写 TCP 行为的识别
- TCP 流图 Flow Graph
- 负载均衡 RST 的识别
- 接收窗口限制吞吐的判据
- 半开连接的检测手段对比
- 用 TTL 推断对端与跳数
- TCP 事件与 HTTP/2 请求关联
- TCP 窗口字段换算
- 握手参数两端不对称排查
- MSS Clamping 的抓包验证
- 同服务内网与公网表现对比法
- SYN Cookie 的抓包痕迹
- TCP_NODELAY 与业务行为
- FIN 之后 RST 的含义
- 五元组复用带来的分析干扰
- 纯 ACK 密集场景解读
- TCP 同时关闭判读
- TCP ECN 协商与标记
TCP 建连失败排查流程
把建连失败拆成可观测步骤：本机发起（见 SYN？）→ 路径传输（对端见 SYN？）→ 对端响应（RST/SYN-ACK？）→ 客户端收响应；每步的抓包证据不同。
易错点
- 跨 NAT 场景要在转换前后都能对照的抓包点取样
- 结论写明证据位置（哪一侧的 pcap、哪个包号），便于复核
数据来源与参考
- RFC 9293
- Wireshark User's Guide（多抓包点）