PCAPdroid 常见连接类型识别 — TCP、TLS、HTTPS、DNS 各是什么

DNS

DNS 连接以 UDP 为主，端口 53，用来把域名解析成 IP 地址。PCAPdroid 能完整显示查询的域名（A 记录、AAAA 记录、CNAME 等）和服务器返回的 IP。

注意：DNS-over-HTTPS（DoH）和 DNS-over-TLS（DoT）是例外，加密后的 DNS 查询 PCAPdroid 看不到明文域名——通常会自动检测并拦截 DoH，因为不拦截就无法看到 DNS 查询内容。DoH 可以通过集成 InviZible Pro 同时实现加密和可见（见 DNS 服务器与 DoH 集成页）。

TCP

TCP 是传输层协议，Connections 里显示「TCP」意味着这条连接上的应用层数据没有 TLS 加密——可能是明文 HTTP、FTP、邮件或自定义协议。TCP 连接在 PCAPdroid 中可以直接看到重组后的负载。

TLS / HTTPS

绝大多数现代应用的出站流量都是 TLS 加密的。Connections 里显示「HTTPS」通常是 PCAPdroid 识别出明文 HTTP 请求行，「TLS」则只看到 TLS 握手和加密包体。

未解密时：只能看到 SNI 域名、目标 IP、连接状态、流量大小，看不到请求路径、header、body。解密成功时：TLS 图标旁会有一个绿色锁，进入详情面板能看到 HTTP 结构化视图。

QUIC

QUIC 是基于 UDP 的新传输层协议，被 Chrome、Google 全家桶和 HTTP/3 采用。PCAPdroid目前不支持 QUIC 的 TLS 解密，遇到 QUIC 连接时锁图标会显示橙色（不支持解密）。

绕过方法：PCAPdroid 内置可以主动阻断 QUIC，让应用回退到 TLS 1.3，此时就能解密了。设置位置在 TLS 解密面板里。

UDP

UDP 是无连接传输，除了 DNS（端口 53）以外，常见的 UDP 流量有 QUIC、DNS-SD（mdns，多播服务发现）、NTP 时间同步、某些游戏协议、STUN（WebRTC NAT 穿透）等。UDP 连接在 PCAPdroid 里同样能显示负载。

MDNS

多播 DNS，用于局域网服务发现（打印机、Chromecast、AirPrint 等）。目标 IP 通常是 224.0.0.251 或 IPv6 ff02::fb，属于本地链路流量，正常。