| 用途 | 核对套件协商结果 |
|---|---|
| 字段 | tls.handshake.ciphersuite / ciphersuites |
过滤
过滤
tls.handshake.type == 2 && tls.handshake.ciphersuite
# 对照两端策略：客户端列表 ∩ 服务端列表 = 选中项1.3 套件名与 1.2 命名不同（TLS_AES_* 系列），按版本对照。
本包目录（400 条）
tcpdump 过滤实战51 条Wireshark 技巧75 条TCP 流分析82 条
应用层报文判读71 条
- HTTP 请求行判读
- Keep-Alive 连接复用判读
- 重定向状态码语义对照
- TTFB 慢的逐段拆解
- DNS 查询报文结构判读
- TLS ClientHello 字段判读
- HTTP 状态码家族过滤
- Content-Length 与实际不符判读
- 5xx 场景速判
- 响应截断现象判读
- DNS 标志位逐项判读
- DNS 结果码速查表
- TC 截断与 TCP 回退判读
- TLS 握手耗时拆解
- TLS 告警码速查表
- 按 HTTP 方法过滤统计
- Chunked 传输判读
- Expect: 100-continue 交互判读
- 4xx 场景速判
- 下载慢的三类归因
- 内容编码与压缩判读
- Host 头与虚拟主机判读
- WebSocket 升级握手判读
- HTTP/2 RST_STREAM 判读
- SERVFAIL 的常见根因
- DNS 超时重试模式判读
- EDNS0 与 UDP 尺寸协商
- TTL 与缓存行为判读
- 双栈优选与 Happy Eyeballs 观察
- 搜索域与补全查询判读
- 页面加载的 DNS 放大观察
- DNS 抓包过滤速查
- 按 SNI 过滤流量
- ALPN 协商结果判读
- 证书链判读要点
- 证书域名匹配判读
- TLS 1.3 握手表征
- 会话恢复判读
- 密钥日志解密抓包
- TLS 握手失败模式汇总
- Connection: close 行为判读
- 响应头与响应体间隔判读
- 上传慢的窗口观察点
- Set-Cookie 判读要点
- 缓存头判读
- 代理请求形态判读
- HTTP/2 设置协商判读
- NXDOMAIN 判读与影响
- REFUSED 的含义与处置
- CNAME 链判读
- 否定缓存 TTL 判读
- 重复查询与 ID 变化判读
- 加密 DNS（DoH/DoT）识别
- 多解析器延迟对比法
- PTR 反向查询判读
- AXFR 全量传送检测
- CD/AD 位与 DNSSEC 相关位
- ANY 查询与反射放大风险观察
- 协商版本判读
- TLS Alert 消息判读
- Close Notify 与截断连接
- 重协商与重新握手检测
- TLS 记录大小与分片判读
- 密码套件列表判读
- 密钥交换组与曲线判读
- 双向认证（mTLS）判读
- TLS ServerHello 字段判读
- 服务端时间头与本地偏差核对
- 附加记录与胶水判读
- 证书有效期与过期判读
- OCSP 装订状态判读
密码套件列表判读
ClientHello 提供的套件列表与 ServerHello 的选中项：出现弱套件告警或"无共同套件"握手失败时，对照两端列表定位。
易错点
- 套件包含密钥交换/签名/加密多要素，单看名字片段会误判强度
- 中间设备可能裁剪列表，客户端侧抓包不等于服务端收到内容
数据来源与参考
- RFC 8446（套件）
- RFC 5246