TShark中tcp.flags.str标签各字符含义及相关文档查询

已明确的标志对应关系 #

• A：ACK（确认）
• S：SYN（同步）
• P：PUSH（推送）
• U：URGENT（紧急）
• F：FIN（连接结束）
• C：Congestion Window Reduced（拥塞窗口减小）

多R字符的含义 #

tcp.flags.str中的R对应两类TCP头部字段：

• 单个R代表**RST（连接重置）**标志位，用于强制中断TCP连接
• 额外的R对应TCP头部的保留位（Reserved Bits），标准TCP协议（RFC 793）预留这些位供后续扩展使用，默认未启用；如果这些保留位被设置，tshark就会在tcp.flags.str中显示为R

权威参考来源 #

• Wireshark内置文档：打开Wireshark后，通过「帮助」→「显示过滤器参考」，找到TCP协议下的tcp.flags.str字段说明，可直接查看每个字符的定义；也可以查看Wireshark源码中packet-tcp.c文件内处理标志位字符串的逻辑
• TCP核心标准RFC 793：这是TCP协议的官方定义文档，详细说明了TCP头部的所有标志位、保留位的设计用途
• tshark本地手册：执行tshark -G fields命令，搜索tcp.flags.str可获取官方字段说明；或者通过man tshark查看手册中关于字段解析的内容

内容的提问来源于stack exchange，提问作者CopyOfA