| 用途 | 辅助判断来包路径与来源 |
|---|---|
| 字段 | ip.ttl（Wireshark）/ -v 输出中的 ttl |
观察
观察
10.0.0.9 的包 TTL=62 → 距本机约 2 跳（初始 64）
同一对端 TTL 变化 → 负载均衡多路径或来源不同
TTL=1 的包 → 本地链路协议交互中间设备可能重置 TTL（如代理/负载均衡），推断仅作参考。
用 TTL 推断对端与跳数
初始 TTL 常见 64/128/255，收到包的 TTL 与初始值之差≈经过跳数；TTL 异常（同对端忽大忽小）提示路径变化或伪造，辅助来源分析。
易错点
- 判断"距本机跳数"要用抓包点位置修正，抓包点本身可能离你不止一跳
- ECMP 环境下同一对端 TTL 轻微浮动属正常
数据来源与参考
- RFC 791（TTL）
- Wireshark User's Guide