请求一个问题，是在用tcpdump抓包时出现的，大家帮忙看看！

muyue

22:48:40.013350 211.97.178.211.62713 > 211.97.168.30.8801: S 879972360:879972360(0) win 16384 <mss 512>
22:48:42.017747 211.97.178.211.62735 > 211.97.168.30.8801: S 3568634192:3568634192(0) win 16384 <mss 512>
22:48:45.007649 211.97.178.211.62735 > 211.97.168.30.8801: S 3568634192:3568634192(0) win 16384 <mss 512>
22:48:45.314973 211.97.168.30.8801 > 211.97.178.211.62713: R 0:0(0) ack 879972361 win 0 (DF)
22:48:50.515028 211.97.168.30.8801 > 211.97.178.211.62735: R 0:0(0) ack 3568634193 win 0 (DF)
22:48:51.008589 211.97.178.211.62735 > 211.97.168.30.8801: S 4228405264:4228405264(0) win 16384 <mss 512>
22:48:52.008921 211.97.178.211.62713 > 211.97.168.30.8801: S 153570036:153570036(0) win 16384 <mss 512>
22:48:56.915035 211.97.168.30.8801 > 211.97.178.211.62735: R 0:0(0) ack 659771073 win 0 (DF)
22:48:58.114979 211.97.168.30.8801 > 211.97.178.211.62713: R 0:0(0) ack 3568564973 win 0 (DF)
22:48:59.511126 211.97.178.211.62677 > 211.97.168.21.8801: S 1769572897:1769572897(0) win 16384 <mss 1380> (DF)
22:49:03.012273 211.97.178.211.62735 > 211.97.168.30.8801: S 3920176075:3920176075(0) win 16384 <mss 512>
22:49:09.715038 211.97.168.30.8801 > 211.97.178.211.62735: R 0:0(0) ack 351541884 win 0 (DF)
22:49:16.012507 211.97.178.211.62713 > 211.97.168.30.8801: S 88812875:88812875(0) win 16384 <mss 512>
22:49:22.515036 211.97.168.30.8801 > 211.97.178.211.62713: R 0:0(0) ack 3503807812 win 0 (DF)
22:49:27.025408 211.97.178.211.62735 > 211.97.168.30.8801: S 3443052257:3443052257(0) win 16384 <mss 512>
211.97.168.30这个地址和它所在8801这个服务已经被我删除了，但是在客户端连接主机的时候还有这个信息，大家注意一下211.97.168.30.8801在回应请求的时候，例如0:0(0) ack 3568564973 win 0 (DF)这个信息，我不是很明白，请大家帮我看看，谢谢！

muyue

怎么没有人帮忙啊，拜托了大家，谢谢！

muyue

看来还是自己来解释一下了，　　RST: 用来复位一个连接。RST标志置位的数据包称为复位包。一般情况下，如果TCP收到的一个分段明显不是属于该主机上的任何一个连接，则向远端发送一个复位包。 也就是说我的地址帮助211.97.168.30向211.97.178.211说，要重新发数据包，211.97.168.30地址不存在，我个人理解！但是后面的0:0(0) ack 是什么意思，尤其是那3个0！请高手指点！

platinum

tcpdump 我也看不明白，但我可以通过 -w 保存到文件中，拿到 wireshark 去看，那样就一目了然了

5iwww

S 879972360:879972360(0) win 16384 <mss 512>

S = flags syn

879972360:879972360(0)

The  packet sequence number was 879972360 and it contained no data.  (The notation is 'first:last(nbytes)' which means 'sequence numbers first up to but not including last which is nbytes bytes of user data'.)

win 16384:  receive window was 16384

呵呵 我对照man page 给LZ写出来的。 前边应该是握手时候的seq号，后边的0 应该表示没有内容。win 就是告诉发送方我允许的接受数据的滑动窗口的大小。

如果是  R 0：0(0) ACK  1212121212  win0

我想就是 RST（复位） 一个无内容的包 并且 ack 响应上个seq 为 1212121212 的syn ，并且把windows 大小置位0 意思是不接受对方发送的数据

如果解释的不对 还请大家纠正~

[ 本帖最后由 5iwww 于 2007-3-27 13:56 编辑 ]