TFO可使首次数据传输提前至SYN阶段，降低短连接延迟30%以上；需Linux≥3.7内核、sysctl设net.ipv4.tcp_fastopen=3、服务端调用setsockopt启用TCP_FASTOPEN、客户端用支持TFO的工具（如curl --tfo）并完成Cookie缓存。
直接启用 TCP Fast Open（TFO）能让首次数据传输提前到 SYN 阶段，跳过传统三次握手的“空等”环节，实测在短连接密集场景下可降低端到端延迟 30% 以上。它不是魔法，但需要客户端、服务端和内核三者协同生效。
确认内核与系统支持
TFO 自 Linux 3.7 起支持，但默认通常关闭。先验证是否可用：
- 检查内核版本：uname -r，确保 ≥ 3.7
- 查看当前 TFO 状态：cat /proc/sys/net/ipv4/tcp_fastopen
返回值为 1（客户端启用）、2（服务端启用）、3（两端都启用），0 表示禁用 - 若为 0，临时开启（需 root）：echo 3 > /proc/sys/net/ipv4/tcp_fastopen
- 永久生效：向 /etc/sysctl.conf 添加一行 net.ipv4.tcp_fastopen = 3，再运行 sysctl -p
服务端应用层适配
内核支持只是基础，服务端程序必须显式启用 TFO 才能接收带数据的 SYN 包：
- 使用 setsockopt(fd, IPPROTO_TCP, TCP_FASTOPEN, &qlen, sizeof(qlen)) 设置监听 socket 的 fastopen 队列长度（如 qlen=5）
- 注意：调用时机必须在 bind() 之后、listen() 之前
- 主流服务如 Nginx（≥1.15.5）、OpenResty、Caddy 默认已支持；若用自研服务，需在 socket 初始化逻辑中补上该选项
- 验证是否生效：用 ss -i 查看监听端口，若输出中含 tfo: 字样（如 tfo:0x1），说明已就绪
客户端发起 TFO 连接
客户端同样需代码级支持，不能仅靠 sysctl 开关：
- 创建 socket 后，调用 setsockopt(fd, IPPROTO_TCP, TCP_FASTOPEN, &on, sizeof(on)) 启用（on=1）
- 发送数据时，用 sendto() 或 connect() + send() 组合，将首包数据随 SYN 一并发出（内核自动封装）
- 首次连接会失败回退至标准三次握手，并获取服务器下发的 TFO Cookie；后续连接才真正启用加速
- 常见工具中，curl（≥7.49.0） 支持 --tfo 参数；wget2 也原生支持；传统 wget 和旧版 curl 不支持
验证与排障要点
启用后不等于一定生效，需交叉验证：
- 抓包确认：用 tcpdump -i any port ，观察客户端发出的 SYN 包是否含 payload（Wireshark 中显示 “SYN, Seq=xxx, Len=y”）
- 检查 Cookie 机制：服务端日志或 /proc/net/netstat 中搜索 TCPFastOpenPassive（服务端接受 TFO）和 TCPFastOpenActive（客户端成功发出）计数器是否增长
- 常见失败原因：防火墙丢弃带 payload 的 SYN、中间设备（如某些企业网关）不兼容 TFO、服务端未正确调用 setsockopt、客户端未用支持 TFO 的库或工具
- 注意：TFO 对 TLS 握手无直接加速作用，但可缩短 TCP 层建立时间，间接提升 HTTPS 首字节时间（TTFB）
