如何用libpcap仅过滤客户端（SYN-SENT）数据包？

核心过滤规则调整 #

你当前的规则会捕获所有带SYN标志的数据包（包括服务器回应的SYN-ACK），这是导致重复通知的原因。要只抓客户端处于SYN-SENT状态的数据包，只需过滤仅置位SYN标志、未置位ACK标志的包，修改后的过滤规则如下：

"tcp[tcpflags] == tcp-syn and not net 127.0.0.1"

等价的详细写法：

"tcp[tcpflags] & (tcp-syn) != 0 and tcp[tcpflags] & (tcp-ack) == 0 and not net 127.0.0.1"

规则生效逻辑 #

• SYN-SENT状态的客户端发起新连接时，发送的是纯SYN包（仅SYN标志位为1）
• 服务器回应的SYN-ACK包（SYN和ACK标志位均为1）会被该规则过滤
• 保留排除本地回环地址127.0.0.1的逻辑，避免捕获本地连接

进阶：避免SYN重传导致的重复通知 #

如果客户端因网络问题重传SYN包，上述规则仍会捕获到。要彻底避免重复通知，需在应用层维护连接跟踪表：

• 记录已捕获的连接四元组：源IP、源端口、目的IP、目的端口
• 每次捕获SYN包时，先检查四元组是否已存在于表中，仅在不存在时触发新连接通知
• 可设置超时机制，定期清理表中过期条目（比如超过30秒未收到后续包的连接）

内容的提问来源于stack exchange，提问作者Yosef