TShark tcp.flags.str 标签的含义是什么？

Question

我正在使用

tshark

，并且我提取了一个名为：

tcp.flags.str

的字段。我很难理解这些字段值的含义。例如，一些字符串可能如下所示：

·······A····
··········S·
·······A···F
····C··AP···
RRR·CE····S·
·······A·R·F
·R···EUAPRSF
··RN········

我已经计算出整个填充字符串是：

RRRNCEUAPRSF

，我猜测

A

：ACK，

S

：SYN，

P

：PUSH，

U

：紧急，

F

：FIN，

C

：拥塞窗口减少。否则，除了有一些

R

值之外，我没有任何猜测，所以某个地方有 RESET 和 RESERVED，但我不知道在哪里。我在哪里可以找到这方面的一些好的文档？

Answer 1

RFC 793 第 3.1 节定义了原始的 6 个 TCP 标志。 RFC 3168 引入了 ECN-Echo 和拥塞窗口减少标志。 RFC 3540 引入了 Nonce Sum 标志，但 Wireshark/tshark 将其称为准确的 ECN，大概来自 RFC 7560。 TCP 标志字段的其余 3 位仍标记为保留。因此，

RRRNCEUAPRSF

代表：

• RRR = 保留供将来使用
• N = Nonce sum（NS，现在称为“准确的 ECN”）
• C = 拥塞窗口减少 (CWR)
• E = ECN-Echo (ECE)
• U = 紧急 (URG)
• A = 确认 (ACK)
• P = 推 (PSH)
• R = 重置 (RST)
• S = 同步 (SYN)
• F = 完成 (FIN)