保姆级教程：用Wireshark抓包，5分钟看懂TCP三次握手和四次挥手（附实战截图）
从零开始用Wireshark解密TCP对话：三次握手与四次挥手的可视化实战
当你第一次听说TCP三次握手时，是否觉得这像某种神秘仪式？作为网络通信的基石，TCP连接的建立与终止过程其实就像两个人在打电话——先说"喂，听得到吗？"，对方回答"听得到，你呢？"，最后确认"我也听得到"。只不过在网络世界里，这些对话变成了SYN、ACK和序列号。本文将带你用Wireshark这个"网络显微镜"，亲眼见证这些数据包如何在毫秒间完成精妙的通信舞蹈。
1. 实验环境准备：搭建你的网络观察站
在开始抓包前，我们需要做好基础配置。就像显微镜需要调焦一样，Wireshark也需要正确设置才能捕捉到清晰的网络活动。
1.1 Wireshark安装与基础配置
推荐从官网下载最新稳定版（当前为4.0.7），安装时注意勾选Install WinPcap/Npcap选项。安装完成后，首次启动时会提示选择网络接口：
# Windows下查看可用网卡 ipconfig /all # Linux/macOS下查看 ifconfig 或 ip addr选择正在使用的网卡（通常显示有流量波动），建议开启"混杂模式"以捕获所有经过网卡的数据包。关键配置项位于"捕获→选项"：
- 缓冲区大小：建议设为256MB（默认128MB可能在高流量时丢包）
- 实时更新：勾选"实时更新数据包列表"
- 名称解析：启用MAC、网络层和传输层名称解析
提示：笔记本用户建议插网线而非WiFi，无线环境会有大量无关广播包干扰分析
1.2 目标网站选择技巧
不是所有网站都适合观察TCP握手过程。理想目标应具备：
- 未启用HTTP/3（QUIC协议会跳过TCP）
- 未使用持久连接（会复用已有TCP连接）
- 无CDN跳转（避免握手过程被隐藏）
推荐测试目标：
http://example.com（最简洁）- 本地搭建的nginx服务（
http://localhost） - 小型技术博客站点
# 快速检查网站是否使用HTTP/3 import requests resp = requests.get('https://example.com') print(resp.headers.get('Alt-Svc', '')) # 出现h3表示启用HTTP/32. 捕获第一个TCP连接：三次握手全解析
现在来到最激动人心的部分——亲眼见证TCP连接的诞生。我们将像考古学家发掘文物那样，逐层清理数据包的表土，露出核心结构。
2.1 过滤器的艺术：精准定位目标流量
开始捕获后，立即在浏览器输入目标网址。此时Wireshark会显示海量数据包，需要运用过滤器精确定位：
- 基础过滤器：
tcp.port == 80 || tcp.port == 443 - 精确到IP：
ip.addr == 93.184.216.34 && tcp（example.com的IP） - 握手特征过滤：
tcp.flags.syn==1 or tcp.flags.ack==1
当看到类似下面的包序列时，说明捕获成功：
No. Time Source Destination Protocol Length Info 1 0.000000 192.168.1.100 93.184.216.34 TCP 74 [SYN] Seq=0 2 0.025367 93.184.216.34 192.168.1.100 TCP 74 [SYN, ACK] Seq=0 Ack=1 3 0.025492 192.168.1.100 93.184.216.34 TCP 66 [ACK] Seq=1 Ack=12.2 解码握手过程：每个比特的含义
双击打开第一个SYN包，重点观察TCP头部：
Transmission Control Protocol, Src Port: 49832, Dst Port: 80, Seq: 0, Len: 0 Flags: 0x002 (SYN) Window: 65535 Checksum: 0x7e72 [unverified] Options: (12 bytes), Maximum segment size, No-Operation (NOP), Window scale, SACK permitted关键字段解读：
| 字段名 | 示例值 | 含义 |
|---|---|---|
| Seq | 0 | 初始序列号(ISN)，实际会随机生成 |
| Flags | SYN | 同步序列号标志，表示开始连接 |
| Window | 65535 | 接收窗口大小，表示可接收的数据量 |
| MSS | 1460 | 最大报文段大小，取决于MTU |
第二次握手（SYN+ACK）新增关键字段：
Acknowledgment number: 1 # 对客户端SYN的确认（ISN+1） Options: TSval 287319, TSecr 0 # 时间戳选项，用于RTT计算第三次握手时，ACK=1表示确认响应，此时Seq和Ack号完成同步：
Seq: 1 # 客户端初始序列号+1 Ack: 1 # 服务端初始序列号+1注意：Wireshark显示的是相对序列号（可右键→Protocol Preferences取消勾选"Relative sequence numbers"查看真实值）
3. 连接终止：四次挥手的内在逻辑
TCP断开连接需要四次交互，这比建立连接多一步。就像挂电话时说"我要挂了"→"好的"→"我也要挂了"→"好的"的对话过程。
3.1 捕获挥手过程的技术要点
要观察完整挥手过程，需要：
- 保持连接活跃几秒（快速关闭可能合并报文）
- 使用过滤器：
tcp.flags.fin==1 - 在浏览器开发者工具中禁用缓存（确保每次都是新连接）
典型挥手序列：
No. Time Source Destination Protocol Length Info 45 4.123456 192.168.1.100 93.184.216.34 TCP 66 [FIN, ACK] Seq=101 Ack=201 46 4.148823 93.184.216.34 192.168.1.100 TCP 66 [ACK] Seq=201 Ack=102 47 4.149012 93.184.216.34 192.168.1.100 TCP 66 [FIN, ACK] Seq=201 Ack=102 48 4.149123 192.168.1.100 93.184.216.34 TCP 66 [ACK] Seq=102 Ack=2023.2 挥手阶段深度解析
第一次挥手（FIN+ACK）：
- 主动关闭方发送FIN
- Seq=101表示之前已传输100字节数据
- 进入FIN_WAIT_1状态
第二次挥手（ACK）：
- 被动方立即回应ACK
- Ack=102表示期望收到下一个字节序号
- 进入CLOSE_WAIT状态
第三次挥手（FIN+ACK）：
- 被动方处理完数据后发送FIN
- 可能延迟几秒（取决于应用层关闭速度）
- 进入LAST_ACK状态
第四次挥手（ACK）：
- 主动方确认FIN
- 进入TIME_WAIT状态（等待2MSL时间）
# 查看系统TCP状态统计（Linux） cat /proc/net/tcp | awk '{print $4}' | sort | uniq -c # Windows使用 netstat -ano | findstr TCP4. 进阶分析：从抓包到网络诊断
掌握了基础握手挥手过程后，Wireshark还能帮助我们诊断各种网络问题。
4.1 常见异常场景解析
案例1：SYN重传
- 现象：连续多个SYN包无响应
- 可能原因：防火墙拦截、路由问题、服务宕机
- 过滤器：
tcp.analysis.retransmission
案例2：半开连接
- 现象：服务端回复SYN+ACK后无后续ACK
- 可能原因：客户端崩溃或中间设备丢弃报文
- 统计方法：
Statistics → TCP Stream Graphs → Round Trip Time
案例3：快速回收连接
- 现象：TIME_WAIT状态连接被快速清除
- 系统参数调整：
# Linux调整TIME_WAIT超时 echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout # Windows修改注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\TcpTimedWaitDelay
4.2 性能优化关键指标
通过Wireshark统计功能可获取重要网络参数：
| 指标 | 计算公式 | 健康值 |
|---|---|---|
| 连接建立延迟 | SYN到SYN+ACK的时间差 | <100ms |
| 重传率 | 重传包数/总包数 | <1% |
| 往返时间(RTT) | 数据包到ACK的时间平均值 | 局域网<1ms |
| 窗口缩放因子 | TCP选项中的Window scale值 | 通常2-14 |
# 使用tshark命令行计算重传率 tshark -r capture.pcap -q -z io,stat,0,"COUNT(tcp.analysis.retransmission) tcp"5. 扩展应用：其他协议的抓包技巧
虽然TCP是核心协议，但Wireshark同样适用于分析其他常见协议。
5.1 UDP协议分析要点
- 典型应用：DNS查询、视频流、在线游戏
- 关键特征：无握手过程、可能乱序到达
- 实用过滤器：
dns：DNS查询响应rtp：实时传输协议udp.length > 500：过滤大尺寸UDP包
5.2 DHCP工作过程四部曲
- Discover：客户端广播寻找服务器
- Offer：服务器提供IP配置
- Request：客户端确认选择
- ACK：服务器最终确认
# 强制释放并重新获取DHCP（Windows） ipconfig /release && ipconfig /renew5.3 DNS查询的幕后故事
一个简单的域名查询可能涉及：
- 本地缓存查询
- 递归查询到ISP DNS
- 根域名服务器指引
- 顶级域名服务器解析
# 用Python模拟DNS查询 import socket socket.gethostbyname('example.com') # 返回'93.184.216.34'在Wireshark中分析DNS响应时，特别注意Answers部分的TTL值，它决定了记录在本地缓存中的存活时间。