单个TCP分段中能否存在多个Modbus PDU？该现象是否为正常预期？

问题解答 #

1. 单个TCP分段包含多个Modbus PDU属于完全正常的合规行为

Modbus TCP基于TCP字节流传输，TCP协议本身不感知应用层报文边界，仅负责有序传输字节序列。发送端（工业控制器、Modbus网关、采集系统等）为降低传输开销，通常会将多个短Modbus PDU合并写入同一个TCP发送缓冲区，最终封装为单个TCP分段发出，这种PDU聚合操作完全符合Modbus TCP协议规范，是工业场景下的常见优化手段。

2. 仅少数场景属于异常

该现象仅在两类场景下为异常：

• 发送端协议栈实现bug：拼接PDU时错误填写Modbus TCP头中的长度字段，导致解析时出现无效的多余PDU
• 抓包链路异常：抓包过程中出现字节丢失、TCP校验和错误，导致Wireshark解析错位，误将单条PDU的payload识别为多条独立PDU

3. 基本可以排除Wireshark自身问题

Wireshark的Modbus解析逻辑严格遵循协议规则：从TCP payload起始位置读取7字节固定头，根据头中的长度字段计算当前PDU的结束偏移，再从该偏移位置开始解析下一个PDU，直到TCP payload遍历完成。
你可以手动校验偏移确认解析正确性：当前PDU结束偏移 = 当前PDU起始偏移 + 7（固定头长度） + 头中长度字段的十进制值，如果所有PDU的偏移都能连续对齐，说明Wireshark解析完全正确，不存在软件故障。

抓包截图 #

内容的提问来源于stack exchange，提问作者O'Jhene