tcpdump 抓零窗口通告

零窗口是接收方"缓冲满了、暂停发送"的信号：tcp[14:2] 读取窗口字段值为 0 即可筛出；排查应用读取慢导致的吞吐骤降。

用途	过滤窗口通告为 0 的 TCP 包
语法	tcp[14:2] = 0 [and ...]

常用示例

tcpdump -i eth0 -nn 'tcp[14:2] = 0' -c 20
tcpdump -i eth0 -nn 'tcp[14:2] = 0 and host 10.0.0.9'

tcp[14:2] 是按标准 20 字节头计算的窗口位置；带选项时 tcpdump 会自动按实际头长偏移，直接使用即可。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌