| 用途 | 识别会话中的重新握手 |
|---|---|
| 观察 | 应用数据阶段再次出现握手消息 |
过滤
过滤
tls.handshake.type == 1 && tls.record.content_type == 22
# 结合时间位置判断是首握手还是重协商重协商引入额外往返与 CPU 开销，高频出现要查触发条件。
重协商与重新握手检测
1.2 允许会话内重协商（证书变化或客户端证书触发）；1.3 禁止重协商、仅允许 KeyUpdate：抓包中加密后再次出现 Hello 即相关信号。
易错点
- 1.3 客户端发 KeyUpdate 属正常工作流，不要当重协商告警
- 重协商被部分服务器禁用，抓包对照两端策略
数据来源与参考
- RFC 5746（重协商安全）
- RFC 8446