如何区分TCP数据包是否携带TLS数据？

• 端口号初步筛查
  绝大多数TLS流量默认使用知名服务端口：HTTPS对应443、FTPS对应990、SMTPS对应465、IMAPS对应993等，如果TCP包的源端口或目的端口属于上述TLS常用服务端口，大概率是携带TLS数据的包。但该方法仅做初步判断，存在端口复用、自定义端口的场景，不能作为唯一判定依据。
• 负载首字节特征判断（核心判定标准）
  TLS协议规定所有TLS记录的第一个字节为Content Type字段，合法取值仅为以下5种：
  • 20：Change Cipher Spec（密码规范变更）
  • 21：Alert（告警消息）
  • 22：Handshake（握手消息）
  • 23：Application Data（应用数据）
  • 24：Heartbeat（心跳消息）
    如果TCP负载的首字节不属于上述20~24的范围，100%不是标准TLS数据包；如果落在该范围，可结合后续两个字节的TLS版本字段进一步验证：
  • TLS 1.0版本号为03 01
  • TLS 1.1版本号为03 02
  • TLS 1.2版本号为03 03
  • TLS 1.3版本号为03 04
    只要TCP负载前三个字节符合「Content Type在20~24之间 + 版本号为上述四个取值之一」的特征，即可判定为携带TLS数据的TCP包。
• 握手阶段特征辅助验证
  TLS握手的第一个包是Client Hello，属于Content Type为22的握手消息，其握手类型字段（第6个字节）固定为01；对应服务端返回的Server Hello握手类型为02，结合这些特征可以进一步确认TLS流量。
• 特殊场景排除
  TCP握手阶段的SYN、ACK、FIN包本身没有应用层负载，不可能携带TLS数据，首先可以排除这类纯控制TCP包；TLS 1.3的加密握手消息也符合前三个字节的通用特征，不需要额外特殊判断。

内容的提问来源于stack exchange，提问作者user16177792