一些TCPDUMP语义分析（长期补充）

不断补充

S SYN 同步序号
F FIN 发送方完成数据发送
R RST 复位连接
P PSH 尽可能快地将数据送往接收进程
. 以后四个标志比特均置0

//
TCP://
//
1 0.0 svr4.1037> bsdi.discard: S 1415531521:1415531521(0) win 4096 <mss 1024>
2 0.02402(0.0024) bsdi.discard > svr4.1037: S 1823083521:1823083521(0) ack 1415531522 win 4096 <mss 1024)
3 0.007224(0.0048) svr4.1037 > bsdi.discard: . ack 1823083522 win 4096
4 4.155441(4.1482) svr4.1037 > bsdi.discard: F 1415531522:1415531521(0) ack 1823083522 win 4096

mss:最大报文长度
每行显示的字段win 4096表示发端通告的窗口大小.默认
1中,字段1415531521:1415531521(0)表示分组序号是1415531521,而报文段中数据字节数为0
2中,ack1415531522表示确认序号.它只有在首部中的ACK标志比特被设置1时才显示



一个分片的UDP://

1 0.0 bsdi.1112 > svr4.discard:udp 1471
2 21.008303(21.8003) bsdi.1114 > svr4.discard:udp 1472
3 50.449704(29.4414) bsdi.1116 > svr4.discard:udp 1473 (frag 26304:1480@0+)
4 50.450040(0.0003) bsdi > svr4 :(frag 26304:1@1480) //除第一分片，没有运输层的首部
5 75.328650(24.8786) bsdi.1118 > svr4.discard:udp 1474 (frag 26313:1480@0+)
6 75.328982(0.0003) bsdi > svr4:(frag 26313:2@1480)

frag:标志符
1480:除IP首部外的片长
@:偏移值
+:表示有更多片
注:除最后一片外,其他每一片中数据部分(除IP首部外的其余部分)必须是8字节的整数倍