TCP 流分析82 条

FIN 之后 RST 的含义

连接半关闭后，已关闭方向又收到数据或迟到包时会回 RST：抓包顺序为 FIN/ACK 之后出现 RST，属协议正常保护，也常见于应用提前关闭。

用途	解释"关闭后复位"现象
顺序	FIN → ACK → （对方继续发数据）→ RST

过滤

tcp.flags.fin == 1 || tcp.flags.rst == 1
tcp.stream == N && (tcp.flags.fin == 1 || tcp.flags.rst == 1)

该 RST 通常由内核发出，不代表进程崩溃；排查"数据未被处理"时看关闭时序。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌