窗口更新是什么
接收缓冲被释放后，接收端会发一个不携带数据的小确认包，把新的窗口值通告给发送方，这就是窗口更新。更新过于频繁或每次只放开很小一段，说明接收侧读取节奏慢；在高时延大带宽链路上窗口本身也可能成为瓶颈，窗口大小除以往返时延就是可达吞吐上限。
基本信息
| 本质 | 接收端通告新的可用窗口 |
|---|---|
| 报文特征 | 纯确认，窗口值由小变大 |
| 过滤字段 | tcp.analysis.window_update |
| 配合字段 | tcp.window_size、握手协商的缩放因子 |
| 吞吐关系 | 可达吞吐上限约等于窗口除以往返时延 |
典型使用场景
- 吞吐上不去但链路无丢包，判断是否受窗口限制
- 零窗口恢复后统计从归零到恢复的耗时
- 评估接收端读取节奏是否碎片化
- 长肥管道场景核对窗口与带宽时延积是否匹配
- 验证调整接收缓冲后窗口是否变宽
观察方式
观察方式
tcp.analysis.window_update # 窗口更新事件
tcp.analysis.window_update && ip.src == 10.0.0.9 # 指定接收端
tcp.window_size < 4096 # 小窗口的确认包
ip.src == 10.0.0.9 && tcp.len == 0 # 该端的纯确认现象与处理方向
| 现象 | 含义 | 处理方向 |
|---|---|---|
| 窗口由 0 变为正值 | 缓冲释放，恢复传输 | 记录恢复耗时 |
| 更新频繁且增量很小 | 应用读取碎片化 | 检查读取逻辑与批处理 |
| 窗口长期偏小 | 接收缓冲配置不足 | 评估调大接收缓冲 |
| 窗口很大但吞吐仍低 | 瓶颈在别处 | 继续查丢包与拥塞 |
窗口更新是纯确认包，容易在统计中被忽略，分析吞吐瓶颈时要专门过滤出来看。
显示窗口值通常已按缩放因子还原，换算时不要重复乘一次缩放。
补充要点
- 把窗口大小与同时段的吞吐曲线对照，能直观看出是否被窗口限制
- 窗口长期停留在固定小值，通常是接收缓冲配置的问题而不是网络问题
- 每次只放开极少字节的更新会显著降低传输效率，属于接收端读取策略问题
- 调整缓冲后要重新抓包验证，避免只改配置不看效果
跨广域网的传输效率对窗口尤其敏感，评估时应把带宽时延积一起算进去。