http请求完整的tcpdump抓包解读-程序员充电站

这个过程包括TCP 三次握手、HTTP 请求/响应和TCP 四次挥手。

我们使用以下命令来捕获与httpbin.org网站进行的一次简单 HTTP 交互：

sudo tcpdump -i any -n -s0 host httpbin.org

然后，在另一个终端使用curl发送一个请求：

curl http://httpbin.org/get

以下是捕获到的数据包序列的详细解读。为了清晰起见，我对输出进行了精简和注释，并模拟了完整的流程。

完整的 HTTP 请求 tcpdump 输出样例与解读

阶段一：TCP 三次握手 (Establishing the Connection)

客户端（192.168.1.100）需要先与服务器（54.xxx.xxx.xxx）建立可靠的 TCP 连接。

1. [Client -> Server] SYN Packet

13:37:01.123456 IP 192.168.1.100.58234 > 54.xxx.xxx.xxx.80: Flags [S], seq 3920617153, win 64240, options [mss 1460,sackOK,TS val 100 ecr 0,nop,wscale 7], length 0

解读：客户端发送一个SYN(S) 包到服务器的 80 端口。seq是一个随机生成的初始序列号（ISN）。这是在说：“你好，我想建立连接，我的初始序列号是 3920617153。”

2. [Server -> Client] SYN-ACK Packet

13:37:01.234567 IP 54.xxx.xxx.xxx.80 > 192.168.1.100.58234: Flags [S.], seq 1982746241, ack 3920617154, win 65535, options [mss 1440,sackOK,TS val 200 ecr 100,nop,wscale 9], length 0

解读：服务器回应一个SYN-ACK(S.) 包。它确认了客户端的 SYN（ack 3920617154，即客户端的 ISN + 1），同时也发送了自己的 SYN 和初始序列号 (seq 1982746241)。这是在说：“收到你的请求了，我同意建立连接，我的初始序列号是 1982746241。”

3. [Client -> Server] ACK Packet

13:37:01.345678 IP 192.168.1.100.58234 > 54.xxx.xxx.xxx.80: Flags [.], ack 1982746242, win 502, options [nop,nop,TS val 101 ecr 200], length 0

解读：客户端发送一个ACK(.) 包，确认服务器的 SYN（ack 1982746242，即服务器的 ISN + 1）。至此，TCP 三次握手完成，连接建立。这是在说：“收到你的同意了，连接已建立，我们可以开始传输数据了。”

阶段二：HTTP 请求与响应 (Data Transfer)

连接建立后，客户端开始发送 HTTP 请求。

4. [Client -> Server] HTTP GET Request (PSH-ACK)

13:37:01.456789 IP 192.168.1.100.58234 > 54.xxx.xxx.xxx.80: Flags [P.], seq 3920617154:3920617251, ack 1982746242, win 502, options [nop,nop,TS val 102 ecr 200], length 97

解读：客户端发送一个PSH-ACK(P.) 包。PSH标志表示数据需要被立刻推送给应用层（HTTP服务器）。length 97表明这个包携带了 97 字节的应用层数据（即我们的 HTTP 请求）。
- HTTP数据内容（可使用tcpdump -A查看）：
  GET /get HTTP/1.1
  Host: httpbin.org
  User-Agent: curl/8.8.0
  Accept:/

5. [Server -> Client] ACK for the Request

13:37:01.567890 IP 54.xxx.xxx.xxx.80 > 192.168.1.100.58234: Flags [.], ack 3920617251, win 1440, options [nop,nop,TS val 201 ecr 102], length 0

解读：服务器发送一个ACK(.) 包，确认已收到客户端的完整 HTTP 请求（ack 3920617251是客户端下一个期待的序列号）。

6. [Server -> Client] HTTP Response (PSH-ACK)

13:37:01.678901 IP 54.xxx.xxx.xxx.80 > 192.168.1.100.58234: Flags [P.], seq 1982746242:1982746685, ack 3920617251, win 1440, options [nop,nop,TS val 202 ecr 102], length 443

解读：服务器处理请求后，发回 HTTP 响应。同样使用了PSH-ACK标志，length 443表示这个响应数据包有 443 字节。
- HTTP数据内容（可使用tcpdump -A查看）：
  HTTP/1.1 200 OK
  Date: Tue, 25 Jan 2026 13:37:01 GMT
  Content-Type: application/json
  … (其他头部)
  {
  “args”: {},
  “headers”: {
  “Accept”: “/”,
  “Host”: “httpbin.org”,
  “User-Agent”: “curl/8.8.0”
  },
  “url”: “http://httpbin.org/get”
  }

7. [Client -> Server] ACK for the Response

13:37:01.789012 IP 192.168.1.100.58234 > 54.xxx.xxx.xxx.80: Flags [.], ack 1982746685, win 501, options [nop,nop,TS val 103 ecr 202], length 0

解读：客户端发送一个ACK(.) 包，确认已收到服务器的 HTTP 响应。

阶段三：TCP 四次挥手 (Terminating the Connection)

数据交换完成后，连接被关闭。curl默认使用 HTTP/1.1，通常会发起Connection: close。

8. [Client -> Server] FIN-ACK Packet

13:37:01.890123 IP 192.168.1.100.58234 > 54.xxx.xxx.xxx.80: Flags [F.], seq 3920617251, ack 1982746685, win 501, options [nop,nop,TS val 104 ecr 202], length 0

解读：客户端发送一个FIN-ACK(F.) 包，表示它已经完成了数据发送，希望关闭连接。

9. [Server -> Client] ACK for the FIN

13:37:02.001234 IP 54.xxx.xxx.xxx.80 > 192.168.1.100.58234: Flags [.], ack 3920617252, win 1440, options [nop,nop,TS val 203 ecr 104], length 0

解读：服务器确认客户端的 FIN 包。

10. [Server -> Client] FIN-ACK Packet

13:37:02.112345 IP 54.xxx.xxx.xxx.80 > 192.168.1.100.58234: Flags [F.], seq 1982746685, ack 3920617252, win 1440, options [nop,nop,TS val 204 ecr 104], length 0