用途适用于电力 104 规约 Wireshark 抓包分析快速区分 TCP 建链、传输、正常断连、异常断连四种场景配套查找过滤语句、记忆口诀、现场报文识别方法。一、四大标志位基础定义与业务含义1. ACK 确认位最常见全程存在核心作用告知对方「我已经收到你发送的全部数据请继续发送下一段序号数据」。报文特征几乎所有 TCP 数据包都会携带 ACK纯确认包Len0无 104 心跳 / 遥信 / 遥测业务数据业务包心跳、遥信[PSH, ACK]同时携带业务数据 确认标识。关键字段Ackxxx数字代表下一个期望接收的 TCP 序列号。104 场景举例主站发送遥信 Seq349、长度 16子站回复Ack365代表完整接收本条遥信。2. SYN 同步位仅连接建立阶段出现核心作用发起 TCP 连接请求用于三次握手仅新建链路时出现一次。报文特征仅出现在抓包文件最开头报文标识[SYN]、[SYN, ACK]载荷长度Len0业务未建立前无任何 104 规约报文。三次握手完整流程1客户端主站→服务端子站[SYN]申请建立连接 2服务端→客户端[SYN, ACK]同意建立连接 3客户端→服务端[ACK]握手完成开始传输 104 业务数据3. FIN 结束位正常优雅断开连接核心作用正常主动关闭 TCP 通道四次挥手软件正常退出、主动断链使用。报文特征标识[FIN, ACK]Len0无业务数据断开前已传输完所有缓存报文无丢包、无重传。四次挥手完整流程1一端发送[FIN, ACK]我不再发送新数据 2对端回复[ACK]收到关闭通知传输剩余缓存数据 3对端发送[FIN, ACK]我方数据发送完毕也准备关闭 4发起端回复[ACK]链路正常断开4. RST 重置位强制异常断开连接核心作用粗暴强制销毁 TCP 连接不等待缓存数据通信故障专用。触发场景电力现场高频网口断连、装置重启、防火墙拦截、端口未监听、链路超时反复重传报文特征标识[RST, ACK]出现 RST 后104 心跳、遥信全部中断必须重新 SYN 握手建链。业务危害瞬时信号丢失、遥信变位漏传、104 链路频繁断线重连。二、Wireshark 抓包查找方法直接复制过滤表达式通用过滤规则说明过滤框输入语句后回车列表仅展示对应标志报文可叠加 IP、端口筛选 104 专用链路。 链路固定四元组示例主站 192.168.10.20:2404子站 192.168.10.40:51958查找所有 ACK 确认报文plaintexttcp.flags.ack 1 ip.addr 192.168.10.20 ip.addr 192.168.10.40查找 SYN 握手建链报文plaintexttcp.flags.syn 1查找 FIN 正常关闭报文plaintexttcp.flags.fin 1查找 RST 强制断链报文plaintexttcp.flags.reset 1可视化快速识别无需过滤报文 Info 列直接显示标识[SYN]/[FIN, ACK]/[RST, ACK]/[PSH, ACK]黑色背景告警报文RST、重传、Dup ACK 均为通信异常抓包分区定位SYN文件最顶部链路初始化FIN文件末尾正常退出RST文件任意位置随机故障ACK文件中间全部业务交互段。三、高效记忆方法口诀 逻辑区分适合现场快速回忆1. 四字核心记忆口诀SYN 建、ACK 传、FIN 走、RST 崩拆解SYN 建SYN 建立 TCP 连接开门ACK 传ACK 传输全程确认收条FIN 走FIN 正常下班关门优雅离开RST 崩RST 故障暴力破门强制断开2. 场景联想记忆电力 104 场景贴合工作SYN上班打卡新建 104 链路只在开机握手出现ACK收发信号回执每发一条心跳 / 遥信对方回确认回执FIN正常下班关机主站软件正常退出礼貌关闭通道RST装置突然断电、网线拔断链路直接崩断无缓冲。3. 标志字母词根记忆SYN Synchronize 同步同步序列号新建连接ACK Acknowledge 确认应答收到数据FIN Finish 完成数据传输完成正常关闭RST Reset 重置重置整条 TCP 会话四、现场故障快速判断流程只有大量 ACK链路正常心跳、遥信交互稳定ACK 频繁 Retransmission/Dup ACK链路延迟高、轻微丢包出现 FIN人为主动关闭程序无设备故障出现 RST网络 / 装置异常断线需排查网线、防火墙、设备负载抓包无 SYN当前片段非链路起始拖动滚动条至文件头部查看握手。五、文档总结ACK 是 TCP 通信基础全程伴随所有数据交互SYN、FIN、RST 仅在连接创建 / 断开瞬间出现用于判断链路生命周期口诀「SYN 建、ACK 传、FIN 走、RST 崩」可快速区分四种标志业务意义Wireshark 专用过滤语句可精准筛选目标报文用于 104 规约通信故障定位。