| 用途 | 按失败形态快速分类 |
|---|---|
| 方法 | 观察终止点与告警码 |
模式对照
| 表现 | 常见原因 |
|---|---|
| 无响应后超时 | 链路过滤/服务未监听 |
| 握手初立即 RST | 协议不匹配/策略拒绝 |
| 70 告警 | 版本被禁 |
| 112 告警 | SNI 无对应站点 |
复盘口径
复盘口径
记录: 失败发生在 第几个消息 + 告警码 + 两侧时间差同一现象在不同中间设备下原因不同，失败点比表象更有信息量。
本包目录（400 条）
tcpdump 过滤实战51 条Wireshark 技巧75 条TCP 流分析82 条
应用层报文判读71 条
- HTTP 请求行判读
- Keep-Alive 连接复用判读
- 重定向状态码语义对照
- TTFB 慢的逐段拆解
- DNS 查询报文结构判读
- TLS ClientHello 字段判读
- HTTP 状态码家族过滤
- Content-Length 与实际不符判读
- 5xx 场景速判
- 响应截断现象判读
- DNS 标志位逐项判读
- DNS 结果码速查表
- TC 截断与 TCP 回退判读
- TLS 握手耗时拆解
- TLS 告警码速查表
- 按 HTTP 方法过滤统计
- Chunked 传输判读
- Expect: 100-continue 交互判读
- 4xx 场景速判
- 下载慢的三类归因
- 内容编码与压缩判读
- Host 头与虚拟主机判读
- WebSocket 升级握手判读
- HTTP/2 RST_STREAM 判读
- SERVFAIL 的常见根因
- DNS 超时重试模式判读
- EDNS0 与 UDP 尺寸协商
- TTL 与缓存行为判读
- 双栈优选与 Happy Eyeballs 观察
- 搜索域与补全查询判读
- 页面加载的 DNS 放大观察
- DNS 抓包过滤速查
- 按 SNI 过滤流量
- ALPN 协商结果判读
- 证书链判读要点
- 证书域名匹配判读
- TLS 1.3 握手表征
- 会话恢复判读
- 密钥日志解密抓包
- TLS 握手失败模式汇总
- Connection: close 行为判读
- 响应头与响应体间隔判读
- 上传慢的窗口观察点
- Set-Cookie 判读要点
- 缓存头判读
- 代理请求形态判读
- HTTP/2 设置协商判读
- NXDOMAIN 判读与影响
- REFUSED 的含义与处置
- CNAME 链判读
- 否定缓存 TTL 判读
- 重复查询与 ID 变化判读
- 加密 DNS（DoH/DoT）识别
- 多解析器延迟对比法
- PTR 反向查询判读
- AXFR 全量传送检测
- CD/AD 位与 DNSSEC 相关位
- ANY 查询与反射放大风险观察
- 协商版本判读
- TLS Alert 消息判读
- Close Notify 与截断连接
- 重协商与重新握手检测
- TLS 记录大小与分片判读
- 密码套件列表判读
- 密钥交换组与曲线判读
- 双向认证（mTLS）判读
- TLS ServerHello 字段判读
- 服务端时间头与本地偏差核对
- 附加记录与胶水判读
- 证书有效期与过期判读
- OCSP 装订状态判读
TLS 握手失败模式汇总
把常见失败收成一表：立即复位（端口/路由）、版本告警、证书告警、SNI 未识别、连接挂起：按模式对号入座再深挖。
易错点
- 偶发失败要按时间分布看是否与负载/轮换相关
- 抓包点选在客户端侧还是服务端侧会看到不同形态，先确认位置
数据来源与参考
- RFC 8446（告警）
- Wireshark User's Guide