TCP快速打开（TFO）允许在SYN包中捎带应用数据以减少1个RTT，依赖服务端签发并由客户端缓存的加密Cookie验证身份，Linux需内核≥3.7、启用CONFIG_TCP_FASTOPEN、sysctl设置net.ipv4.tcp_fastopen为1/2/3，并注意仅短连接受益及防火墙兼容性。
TCP快速打开（TCP Fast Open，TFO）是一种优化TCP三次握手的机制，允许在SYN包中携带应用层数据，从而减少一次往返延迟（RTT），提升短连接场景下的响应速度。它不是替代三次握手，而是在握手过程中“捎带”数据，前提是客户端与服务端此前已成功完成过TFO握手并交换过TFO Cookie。
核心原理：Cookie机制与数据捎带
TFO依赖一个轻量级的加密Cookie来验证客户端身份，避免被用于放大攻击：
- 首次连接时，客户端发送SYN请求，服务端若启用TFO，会在SYN-ACK中携带一个由服务端密钥加密生成的Cookie（TFO Cookie）；
- 客户端缓存该Cookie，后续连接时在SYN包的TCP选项字段中携带该Cookie，并可同时放入应用数据（如HTTP请求）；
- 服务端校验Cookie有效性后，可立即将SYN中的数据递交给应用层，无需等待三次握手完成；
- 若Cookie无效或过期，服务端会退回到标准三次握手流程，不丢弃连接，保证兼容性。
Linux内核对TFO的支持要求
启用TFO需满足以下条件：
- 内核版本 ≥ 3.7（基础支持），推荐 ≥ 4.1（更稳定、支持服务端TFO默认开启）；
- 编译时开启CONFIG_TCP_FASTOPEN选项（主流发行版默认已启用）；
- 用户态应用需调用setsockopt()设置TCP_FASTOPEN选项，并使用sendto()或connect() + send()组合触发SYN-data；
- 服务端需显式启用TFO监听（如Nginx 1.15.5+、OpenSSL 1.1.1+等支持；传统sshd、Apache默认不支持TFO）。
系统级启用与配置方法
Linux通过sysctl接口控制TFO行为，分客户端和服务端两部分：
- 客户端启用：设置net.ipv4.tcp_fastopen = 1（允许发起TFO连接）；
- 服务端启用：设置net.ipv4.tcp_fastopen = 2（仅接受TFO连接）或= 3（同时支持客户端和服务端TFO）；
- 临时生效：sudo sysctl -w net.ipv4.tcp_fastopen=3；
- 永久生效：在/etc/sysctl.conf中添加net.ipv4.tcp_fastopen = 3，再执行sysctl -p；
- 验证是否生效：sysctl net.ipv4.tcp_fastopen应返回对应数值，且cat /proc/sys/net/ipv4/tcp_fastopen一致。
实际应用注意事项
TFO虽能降低延迟，但有明确适用边界和潜在限制：
- 仅对短生命周期连接（如HTTP/1.1短连接、DNS-over-TCP、API调用）收益明显；长连接或TLS握手后才发数据的场景（如HTTPS）收益有限；
- TLS 1.3本身已有0-RTT机制，与TFO定位不同：TFO优化TCP层，TLS 0-RTT优化加密层，二者可共存但不叠加；
- 防火墙/NAT设备若清理TCP选项或截断SYN包，可能导致TFO失败并静默降级；
- 服务端需确保应用层能正确处理“未完成握手即送达的数据”，否则可能引发逻辑错误（如未认证就处理请求）；
- 可通过tcpdump抓包观察SYN包是否含TCP Option - Fast Open Cookie及数据负载，确认是否真正启用。
