tcpdump命令只能抓到3次挥手

        用了个两个Linux系统一个是服务器端，一个是客户端，并用tcpdump命令抓取数据包，查看两台机器用tcp协议进行连接和断开时的ip数据包，在查看连接建立的过程中是有3次握手，这个是正常的，但是再看连接断开时，却发现了问题，并没有传说中的4次挥手，反而只有3个数据包，无论是在客户端，还是服务器端，抓到的断开数据包只有三个，难道是tcp协议和实现还不一样吗？网上扑天盖地的全是4次挥手，而且大家都好像确信抓到4个数据包，难道在我这里出现了问题，还是我的抓取方式有问题，百思不得其解啊。。。

 

     

        最后原因找来找去，查到的认为可能的原因是服务器收到FIN数据包后, 调用close函数时, 清空socket缓存里的数据包，其中也包括服务器发出的ACK包，而且速度太快了，数据包存在时间太短了，结果导到这个数据包没有被tcpdump抓到，但是如果是这个原因的话，那应该在客户端会抓到断开的4个数据包，但是我在客户端和服务端都只抓到3个连接断开的数据包，后来分析TCP状态图，结合TCP包的数据字段分析终于找到原因了.

        可以看到TCP状态图中，客户端发送FIN 数据包给服务器就由ESTABLISHED状态进入到FIN_WAIT_1状态，如果此时收到服务器发送过来的FIN+ACK消息，将直接进入TIME_WAIT状态，这个时候客户端不用进入FIN_WAIT_2状态，断开连接的过程只用3个数据包就可以完成了。

        我们再来分析下tcpdump打印的数据包，看看是否收到了服务端发送的FIN+ACK消息，如果收到了，就证明实际上断开连接收发三个数据包就能完成，先看看TCP头部字段的

数据结构：

    

  

       

        可以看到上图红框中数据 8011 转成2进制就是  1000000000010001 ，很明显看到ACK和FIN字段就被设置了，所以这条消息就是状态图中服务端发送的FIN + ACK消息，直接让客户端进入到TIME_WAIT状态，此时看到的断开连接的数据包只有3个，而不是4个，也就不并是传说中的 “4次挥手了”。

       大家如果也碰到这种类似的情况也可以一起讨论下原因。