TCP 三次握手判读

抓包判读建连：客户端 SYN(seq=x) → 服务端 SYN-ACK(seq=y, ack=x+1) → 客户端 ACK(ack=y+1)；三步齐全才算建立成功。

用途	确认连接是否正常建立
过滤	tcp[tcpflags] & tcp-syn != 0 或显示过滤器 tcp.flags.syn==1

判读要点

SYN：窗口与 MSS 选项在此出现
SYN-ACK：确认号必须等于 SYN 的 seq+1
ACK：确认号等于 SYN-ACK 的 seq+1
缺失任一步 → 建连异常，继续看重传与 RST

SYN 与 SYN-ACK 之间的间隔≈半个 RTT，是判断建连慢的基线。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌