Wireshark中定位TCP RST发出方需综合四元组、序列号/确认号、连接阶段、TCP流追踪及ACK标志：一、源IP与源端口直接标识发送设备；二、RST的Seq等于对端ACK的Ack值时，RST由该ACK接收方发出；三、三次握手中SYN后直连RST且端口镜像，则RST由服务器发出；四、Follow TCP Stream中RST所在侧IP:Port即为发送端；五、RST+ACK时，其Ack Number对应报文的源IP:Port即为RST发出端。

当Wireshark抓包中显示TCP报文携带RST标志位时，需结合四元组、序列号/确认号、连接上下文及发送时机综合判断RST的发起端。以下是定位RST发出方的具体方法：

一、依据源IP与源端口识别发送端

每个RST报文均具有明确的源IP地址和源端口号，该组合即为RST的实际发出者。在Wireshark中，直接查看Packet List面板的“Source”列即可获取该信息。注意：该字段反映的是网络层实际发送该RST报文的设备，而非逻辑上的“错误方”或“被拒绝方”。

1、在Wireshark主界面选中任意一条标记为[RST]的报文。

2、观察下方Packet Details面板中“Internet Protocol Version 4”行，展开后找到“Source Address”字段。

3、继续展开“Transmission Control Protocol”行，定位“Source Port”字段值。

4、源IP与源端口共同构成RST报文的物理发送端，此为最直接、不可绕过的判定依据。

二、通过序列号与确认号匹配连接状态

TCP协议要求RST报文的序列号必须处于接收方当前期望接收的窗口内，或严格匹配其最近发出的SYN/FIN/ACK所携带的确认号。若RST的Seq等于对方刚发来的ACK中的Ack值，则表明该RST是对对方上一个报文的直接响应，通常由该ACK的接收方发出。

1、定位RST报文前最近的一条来自对端的ACK或SYN报文。

2、记录该报文的Acknowledgment Number（确认号）值。

3、检查RST报文的Sequence Number（序列号）是否与该确认号完全一致。

4、若一致，则RST极大概率由该ACK/SYN的接收方发出，即RST源端口对应设备是该ACK的接收者。

三、结合连接建立阶段判断触发方

在三次握手过程中，若客户端发送SYN后，服务器未监听对应端口，则服务器内核会立即回复SYN+ACK以外的RST报文；此时RST源端口为服务器监听端口（如80），目的端口为客户端随机端口。该场景下RST必然由服务器发出。

1、筛选过滤器输入tcp.flags.syn == 1 && tcp.flags.ack == 0，定位初始SYN。

2、观察SYN之后紧邻的报文是否为[RST]且无[ACK]标志。

3、确认该RST报文的目的端口是否等于SYN的源端口，源端口是否等于SYN的目的端口。

4、若端口关系呈镜像反转，且RST出现在SYN之后无任何SYN-ACK响应，则RST必由SYN的目标服务器发出。

四、利用Wireshark内置着色规则与追踪流功能

Wireshark可通过“Follow TCP Stream”功能将属于同一连接的所有报文聚合显示，并以不同颜色区分双向数据流。RST报文所在流的颜色与其源IP绑定，点击着色规则可反向定位所属终端。

1、右键点击任一RST报文，选择“Follow” → “TCP Stream”。

2、在弹出窗口中观察左侧与右侧文本框上方标注的IP:Port组合。

3、确认RST行出现在哪一侧（左侧为流中第一个方向，右侧为反向）。

4、RST所在侧顶部显示的IP与端口，即为该RST的原始发送端。

五、检查RST报文是否携带Ack标志及Ack Number值

RST报文可单独存在（仅RST），也可携带ACK标志（RST+ACK）。若RST报文同时设置ACK=1，则其Acknowledgment Number字段有效，且必须等于它所响应报文的Sequence Number+数据长度。此时该RST一定由Ack Number所指向报文的接收方发出。

1、在Packet Details中展开TCP层，查找“Flags”字段下的“ACK”复选框是否勾选。

2、若勾选，记录其“Acknowledgment Number”值。

3、向上搜索是否存在Sequence Number等于该Ack Number的报文。

4、存在则该报文的源IP与源端口即为RST发出端；若不存在，则RST可能为非法伪造或序列号异常触发的内核响应。