工业网关抓包说明：快速区分 TCP 三次挥手与四次挥手报文
- 时间 :2026-07-30
- 作者 :佰马科技
- 浏览数 :633
工业网关在使用TCP连接异常时，常需要靠抓包来分析数据，该文档旨在帮助技术人员快速区分TCP三次握手和四次挥手的数据包。
主要靠Flags 标识区分握手 / 挥手
一、三次握手
TCP 握手只用 SYN(S)、ACK(.) 两个标记，没有 F（FIN）
二、四次挥手
挥手核心是 FIN(F) + ACK(.)，出现F就是断开流程
例如下图所示，即为一次TCP连接与断开的过程
三次握手
Flags [S]：客户端发送 SYN
Flags [S.]：服务端回复 SYN+ACK
Flags [.]：客户端回复纯 ACK
四次挥手
[F.]：主动关闭方发送 FIN+ACK
[.]：被动端回复纯 ACK
[F.]：被动端处理完数据后，发送 FIN+ACK，
[.]：主动端回复纯 ACK，双向链路彻底断开
