| 用途 | 过滤 TCP RST 报文 |
|---|---|
| 语法 | tcp[tcpflags] & tcp-rst != 0 |
常用示例
常用示例
tcpdump -i eth0 -nn 'tcp[tcpflags] & tcp-rst != 0'
tcpdump -i any -nn 'tcp[tcpflags] & tcp-rst != 0 and port 8080' -c 20RST 的 TTL 与链路时延可辅助判断来源：TTL 与正常包明显不同时多来自中间设备或不同主机栈。
tcpdump 抓 RST 复位包
抓取 RST 报文：定位"连接被重置"问题，判断是服务端关闭、端口未监听还是中间设备（防火墙/负载均衡）插入复位。
易错点
- 服务端未监听端口时内核会回 RST+ACK；抓到它说明请求到达了主机但端口没有进程在听
- 只看单向抓包点的 RST 无法确定来源设备，关键故障时在两端同时抓包比对
数据来源与参考
- man 8 pcap-filter
- RFC 9293（RST 处理）