Android 7应用移动数据下TCP三次握手ACK未发送问题排查求助

核心问题总结 #

你的Android 7应用（基于Retrofit 2.3.0）仅在移动数据环境下偶尔出现java.net.ConnectException，服务器端分析显示TCP三次握手失败：客户端发送SYN包后，服务器回复SYN-ACK，但客户端未发送ACK包回应。

根因排查思路 #

1. 移动网络运营商的NAT/防火墙限制 #

由于问题仅出现在移动数据环境，首先考虑运营商侧的网络策略：

• 部分运营商会对TCP握手包设置严格的超时或过滤规则，可能导致SYN-ACK包无法到达客户端，或者客户端发送的ACK包被运营商防火墙丢弃。
• 运营商NAT设备可能会主动回收闲置连接，导致客户端尝试复用已被NAT释放的连接端口，引发握手异常。

2. OkHttp连接池配置问题 #

Retrofit依赖OkHttp处理网络请求，旧版本（2.3.0对应的OkHttp版本为3.8.1）的连接池可能存在以下问题：

• 连接池的空闲连接超时设置不合理，导致客户端尝试复用已失效的连接（被运营商NAT关闭的连接）。
• 端口复用策略与移动网络环境不兼容，引发异常的SYN包发送行为。

3. Android 7系统TCP栈特性 #

Android 7的网络栈存在一些已知的TCP处理特性：

• 系统对TIME_WAIT状态的端口复用逻辑可能存在缺陷，导致在移动数据下发送SYN包时出现异常。
• 电池优化或后台网络限制可能干扰TCP握手的正常流程。

针对TCP包行为的解答 #

1. 同一端口发送SYN是否正常？ #

在TCP协议中，连接关闭（服务器FIN-ACK → 客户端ACK）后，端口会进入TIME_WAIT状态。此时客户端使用同一端口发送新的SYN包属于合法行为（称为TIME_WAIT端口复用），但该行为依赖操作系统的配置。Android默认允许此操作，但部分移动运营商可能会阻止这种端口复用，导致握手失败。

若该行为引发问题，应由客户端调整连接复用策略（例如避免立即复用刚关闭的端口，或修改OkHttp连接池配置）。

2. 未回复服务器FIN-ACK的影响 #

当客户端先发送FIN-ACK，服务器回复ACK，随后服务器发送FIN-ACK但客户端未回应时：

• 服务器端会进入FIN_WAIT_2状态，直到超时释放资源，不会直接导致三次握手失败。
• 但如果客户端快速复用该端口发起新连接，服务器可能因旧连接未完全关闭而拒绝新的SYN请求，间接引发连接异常。因此建议修复客户端逻辑，确保回复服务器的FIN-ACK包，避免资源泄漏和潜在的连接问题。

具体排查与修复步骤 #

• 抓包验证：在移动数据环境下使用tcpdump（需root）或Wireshark（通过VPN代理）捕获设备侧的TCP包，确认客户端是否确实未发送ACK包，还是ACK包被运营商丢弃。
• 调整OkHttp配置：临时禁用连接池，强制每次请求创建新连接，观察问题是否消失：

  OkHttpClient client = new OkHttpClient.Builder()
      .connectionPool(new ConnectionPool(0, 1, TimeUnit.NANOSECONDS))
      .build();
  Retrofit retrofit = new Retrofit.Builder().client(client).build();
  

• 升级依赖库：将Retrofit和OkHttp升级到较新版本（例如Retrofit 2.9.0+，OkHttp 4.x），旧版本的连接处理逻辑存在已知修复点。
• 跨运营商测试：更换不同运营商的SIM卡，确认问题是否为特定运营商的网络限制导致。
• 检查系统设置：关闭设备的电池优化模式，或禁用后台网络限制，排除系统层面的干扰。

内容的提问来源于stack exchange，提问作者SathishKumar