三次握手在做什么

TCP 建连要走三步：客户端发 SYN，带上自己的初始序列号与 MSS、窗口缩放、SACK 许可等选项；服务端回 SYN-ACK，带上自己的初始序列号并确认对方；客户端再回一个 ACK 确认对方。三步走完连接进入已建立状态，之后才能传数据。抓包判读的价值在于把「连不上」拆成三种完全不同的结论：请求没发出、发出了没人应答、对方回了本地没收到。这三者对应的责任方分别是本机配置、路径与中间设备、以及回程链路。

基本信息

典型使用场景

• 判断服务是否可达：SYN 发出后有没有收到 SYN-ACK
• 判断慢在哪一段：看 SYN 到 SYN-ACK 的间隔，以及是否出现重复 SYN
• 判断责任方：静默无响应多为路径丢弃，立刻回 RST 说明端口没有进程监听
• 判断队列压力：服务端收到 SYN 却不回，可能是半连接队列溢出
• 验证策略改动：对比变更前后的握手结果，确认放行是否真的生效

抓取与判读

tcpdump -i eth0 -nn 'tcp[tcpflags] = tcp-syn' -c 20        # 只看纯 SYN
tcpdump -i eth0 -nn 'tcp[tcpflags] = tcp-syn|tcp-ack'      # 只看 SYN-ACK
tcpdump -i eth0 -nn -ttt 'tcp port 443' -c 30              # 带相对时间看间隔
ss -lnt | grep :443                                        # 服务端核对是否在监听
sysctl net.core.somaxconn net.ipv4.tcp_max_syn_backlog     # 半连接队列相关参数

三步逐包读法

命令行核对

ss -s                       # 看 socket 总量与各状态计数
netstat -s | grep -i -A2 listen   # 观察因队列满而丢弃的 SYN 计数
tcpdump -i eth0 -nn -c 10 'tcp[tcpflags] & tcp-syn != 0' | grep -c 'S\.'   # 统计回包形式

常见结论与依据

• 只有 SYN、没有 SYN-ACK、也没有 RST：请求被路径上某台设备丢弃，或服务端队列已满而静默丢弃
• SYN 与 SYN-ACK 都有，但客户端重传 SYN：说明回包在回程路径上丢失，重点查反向链路
• 立刻收到 RST：报文到达了主机，但没有进程监听该端口，或被策略配置为拒绝
• 握手正常但仍然无法通信：问题在 TLS 或应用层，继续看后续数据报文
• 握手时延接近秒级：通常是初始重传超时造成，说明第一个 SYN 或 SYN-ACK 被丢弃
• 客户端与抓包点在同一台机器时，源端口相同而序列号递增的重传说明本地已经重试过多次