| 用途 | 按场景定位 RST 意义 |
|---|---|
| 细分 | 跟随 SYN 的 RST、传输中 RST、半开状态 RST |
场景速查
| 位置 | 含义 | 后续动作 |
|---|---|---|
| SYN 后立即 RST | 端口拒绝 | 核对监听与策略 |
| 数据中 RST | 连接被中止 | 查应用/中间设备 |
| 空闲后 RST | 状态失同步 | 查老化与保活 |
配套过滤
配套过滤
tcp.flags.rst == 1
tcp.flags.rst == 1 && tcp.flags.ack == 0定位时把 RST 与前置报文成对看，孤立看单包信息不足。
TCP RST 常见触发场景
RST 的高频来源：端口未监听、连接状态丢失后收到数据、应用主动 abort（SO_LINGER=0）、中间设备超时/策略注入，以及协议栈收到不匹配连接。
易错点
- RST 是结果而非原因，先找"谁先破坏状态"的那一端
- 负载均衡健康检查失败也可能触发 RST 记录，注意区分业务流
数据来源与参考
- RFC 9293（RST）
- Linux ip-sysctl（tcp_abort_on_overflow 等）