| 用途 | 识别并理解 TFO 流量 |
|---|---|
| 字段 | tcp.options.tfo / SYN 携带 payload |
观察
观察
SYN 包 tcp.len > 0（携带数据）
或 SYN 中带 TFO Cookie 选项
服务端 SYN-ACK 中回 Cookie 供复用TFO 需客户端与服务端及中间设备都放行；抓包中不生效时先看选项是否被剥离。
TCP Fast Open 识别
TFO 允许数据随 SYN 携带（借助 TFO Cookie 免去握手往返）：抓包可见 SYN 带数据或 TFO 选项，缩短首字节时间。
易错点
- 中间设备对带数据 SYN 的处理差异大，跨境链路常被剥离
- TFO 只省一个 RTT 的建连，应用层优化（连接复用）影响通常更大
数据来源与参考
- RFC 7413（TFO）
- Wireshark 显示过滤器参考