简介这份资源是面向计算机网络课程学习者与网络初学者的Wireshark抓包分析练习文档围绕数据包捕获与协议解析展开帮助读者理解网络通信的底层细节。内容涵盖软件安装与启动捕获、主界面三区结构、显示过滤器设置如按IP地址过滤、TCP流跟踪查看HTTP交互以及帧号、时间戳、源目地址、协议层次等字段含义并逐层解析以太网帧头部、IP包头部与TCP数据段信息。资源包共1个doc文件约592KB以图文结合方式记录实验过程与字段说明便于对照教材完成练习。目前已有85人学习。读者可借此掌握Wireshark基本操作与抓包分析方法理解协议封装结构为网络排错、性能优化及协议原理学习打下基础。1. 从一份 .doc 实验报告说起WireShark 抓包到底在抓什么很多人第一次接触计算机网络实验拿到的任务书就是一份 Word 文档标题写着「WireShark 捕获和分析数据包」。打开一看要求无非是选一块网卡开抓访问一个网站或者 ping 一个地址然后找到对应的数据包把每一层协议头展开截图写进报告。听起来简单但真正动手时问题全冒出来了——抓了一大堆包不知道哪个是自己要的过滤器写错一个字符什么都出不来TCP 流跟到一半看不懂序号和确认号最后报告里只能贴几张图凑字数。这份实验真正要训练的能力不是「会点开始和停止」而是用 WireShark 把抽象的网络协议变成肉眼可见的字节流再反过来用这些字节流验证课本上的分层模型。它适合正在学计算机网络的学生、准备期末或考研复试的考生也适合刚入行需要排查网络问题的运维和开发。你不需要先成为协议专家但需要知道每一列、每一个过滤器表达式背后对应的是哪一层、哪个字段。下面我按自己带实验和排查线上问题的顺序把从安装到分析再到避坑的完整路径拆开讲。2. 装好就能抓WireShark 的网卡选择与捕获参数怎么定2.1 安装时最容易忽略的两个组件WireShark 本身只是一个分析前端真正干活的是底层的抓包驱动。Windows 上安装时会提示安装 Npcap这一步不能跳过否则打开软件后接口列表是空的。Npcap 在安装过程中有一个选项叫「Install Npcap in WinPcap API-compatible Mode」如果你后续要用到一些老旧的网络工具建议勾上纯做实验不勾也不影响。安装完成后第一次启动界面会列出所有网络接口每个接口后面有实时的小波形图。这里有个新手常犯的错看到一堆接口不知道选哪个随便选了一个发现抓不到任何包。判断方法很简单看哪个接口的波形在跳动——你当前上网用的那个接口一定在动。如果用的是无线网卡接口名里通常带「Wi-Fi」或「WLAN」有线就是「以太网」或「Ethernet」。提示如果所有接口都没有波形先确认 Npcap 服务是否在运行再检查是否有管理员权限。WireShark 在 Windows 上抓包需要管理员权限右键以管理员身份运行是最省事的做法。2.2 捕获选项里的四个关键参数双击接口名会直接开始抓包但更推荐点菜单栏的「捕获 → 选项」在这里把参数设好再开始。四个参数决定了你抓到的数据有没有用参数作用实验场景建议值混杂模式抓取经过网卡的所有帧不只是发给本机的实验环境勾选生产环境慎用捕获过滤器在抓包阶段就丢弃不匹配的包减少文件体积明确目标时填写如icmp限制每个包的大小只保留每个包的前 N 字节默认 262144 即可除非只关心头部输出文件边抓边写盘避免内存爆掉长时间抓包必设按时间或大小滚动捕获过滤器的语法和显示过滤器不同它用的是 BPF 语法。比如只想抓 ICMP 报文捕获过滤器写icmp只想抓某台主机的流量写host 192.168.1.100。这里先有个印象下一章会详细对比两种过滤器的区别。2.3 用最小命令跑通第一次抓包选好接口、设好捕获过滤器icmp点「开始」。然后在另一个窗口执行一条 ping 命令# Windows 下 ping 一个公网地址发 4 个包就停 ping -n 4 8.8.8.8 # Linux 或 macOS 下对应写法 ping -c 4 8.8.8.8回到 WireShark你应该能看到 8 个包4 个请求 4 个回复。如果什么都没抓到先检查捕获过滤器是不是写成了显示过滤器的语法比如写成了ip.proto 1这在捕获阶段是不认的。点停止按钮把文件保存为.pcapng格式这是后续分析的基础。注意保存时选 pcapng 而不是 pcappcapng 支持多接口、注释和更精确的时间戳是现在的主流格式。如果老师要求交 pcap再另存一份即可。3. 显示过滤器语法从一堆包里捞出你要的那几个3.1 捕获过滤器和显示过滤器的本质区别这是实验报告里最容易被扣分的知识点。捕获过滤器在数据包进入 WireShark 之前就生效不匹配的包直接丢弃所以它不能用来过滤已经抓到的包语法是 BPF。显示过滤器作用在已经抓到的包上随时可以改语法是 WireShark 自己的表达式。两者的常见对应关系如下需求捕获过滤器BPF显示过滤器只看 ICMPicmpicmp只看某 IPhost 10.0.0.5ip.addr 10.0.0.5只看某端口port 443tcp.port 443排除某 IPnot host 10.0.0.5ip.addr ! 10.0.0.5只看 TCP SYN不常用tcp.flags.syn 1 tcp.flags.ack 0实验里最常考的是显示过滤器因为报告需要你从已有抓包文件中筛选。记住一个原则字段名用点号分层比较用双等号逻辑用 and/or/not 或 /||/!。3.2 五个必须练熟的过滤表达式下面这几条覆盖了计算机网络实验八成以上的场景建议在同一个抓包文件里逐条试一遍观察结果条数的变化。# 1. 只看 ARP 请求和回复用于观察地址解析 arp # 2. 只看 TCP 三次握手的前两个包 tcp.flags.syn 1 # 3. 只看 HTTP 的 GET 请求 http.request.method GET # 4. 只看 DNS 查询和响应 dns # 5. 组合条件某 IP 且非本机发出的 ICMP icmp ip.src 192.168.1.100每输入一条注意看顶部过滤框变绿还是变红。绿色表示语法正确红色表示有错此时下方会给出具体哪个字符有问题。常见的红色错误包括把写成、字段名拼错比如ip.adrr、字符串没用双引号。3.3 用「应用为过滤器」和「对话」快速定位如果你不知道字段名怎么写有个偷懒但高效的办法在包列表里右键某个字段选「应用为过滤器 → 选中」WireShark 会自动生成对应的显示过滤器。比如右键一个 TCP 包的源端口选「选中」过滤框里就会出现tcp.srcport 54321。另一个实验报告加分项是「统计 → 对话」。它能按 MAC、IP、TCP/UDP 端口列出所有通信对并按字节数排序。写报告时用这个功能说明「本次实验中流量最大的会话是哪一个」比单纯截图有说服力得多。提示对话窗口里的「绝对时间」列可以帮你判断哪个会话开始得最早结合包列表的时间列能快速还原一次完整交互的先后顺序。4. 逐层拆包以太网帧、IP 头、TCP 段到底看哪些字段4.1 从帧到段一次点击展开的完整路径在包列表里点中任意一个包下方的详情面板会按协议分层展开。以一次普通的网页访问为例展开顺序是Frame物理层信息→ Ethernet II数据链路层→ Internet Protocol Version 4网络层→ Transmission Control Protocol传输层→ HTTP应用层。每一层前面的小箭头可以继续展开看到每个字段的十六进制值和含义。实验报告通常要求你标注出以下字段我按层列出来照着找就行以太网帧目的 MAC、源 MAC、类型0x0800 表示上层是 IPv4IP 头版本、首部长度、总长度、标识、标志、片偏移、TTL、协议号、源 IP、目的 IPTCP 段源端口、目的端口、序号、确认号、首部长度、标志位SYN/ACK/FIN/RST、窗口大小HTTP请求方法、URL、Host 头、响应状态码4.2 用 TCP 流跟踪还原一次完整会话单个包看不出故事右键任意一个 TCP 包选「追踪流 → TCP 流」WireShark 会把属于同一个 TCP 连接的所有包按顺序拼在一起左边是客户端发的右边是服务器发的。这个功能在分析 HTTP 请求响应时特别有用因为你能直接看到请求头和响应体的原始文本。# 追踪流窗口里典型的 HTTP 请求开头 GET /index.html HTTP/1.1 Host: example.com User-Agent: Mozilla/5.0 ... Accept: text/html # 对应的响应开头 HTTP/1.1 200 OK Content-Type: text/html; charsetUTF-8 Content-Length: 1256如果追踪流里出现乱码先看是不是 HTTPS 流量。HTTPS 在传输层之上是加密的WireShark 只能看到 TLS 握手和加密的应用数据看不到明文 HTTP。实验里如果要求分析 HTTP记得访问http://开头的地址或者用http显示过滤器确认抓到的确实是明文。4.3 时间列改成北京时间报告截图更友好WireShark 默认显示的是相对时间或 UTC写报告时经常需要标注「第几秒发生了什么」。菜单「视图 → 时间显示格式」里可以切换选「日期和时间」会显示绝对时间。如果发现比北京时间慢 8 小时那是时区设置问题在「编辑 → 首选项 → 外观 → 时间」里把时区调成 Asia/Shanghai 即可。注意调整时间显示格式不会改变包本身的时间戳只是改变显示方式。如果报告要求精确到毫秒选「日期和时间」后还能在列设置里把精度调到微秒。5. 避坑与排查实验报告里最容易翻车的五个地方5.1 抓不到任何包接口列表还是空的现象打开 WireShark接口列表一片空白或者选了接口开始后一个包都没有。原因Npcap 没装成功或者当前用户没有管理员权限再或者选错了接口比如选了虚拟网卡。解决重新运行安装包确认 Npcap 勾选以管理员身份重启 WireShark在「捕获 → 选项」里逐个接口看波形选有波动的那个。5.2 过滤器写对了但结果为零现象显示过滤器输入http语法是绿色的但一个包都不显示。原因抓包时访问的是 HTTPS 网站或者抓包阶段用了过于严格的捕获过滤器把 HTTP 包提前丢了。解决先清空显示过滤器看总包数是否正常确认访问的 URL 是http://开头检查捕获过滤器是否误写了port 443之类。5.3 TCP 流跟踪里全是乱码现象追踪流窗口显示一堆不可读字符或者提示「未找到 TCP 流」。原因流量是加密的TLS/SSH或者选中的包不属于任何完整 TCP 连接比如只抓到了中间某个包。解决换一个明文协议做实验比如 HTTP、DNS、ICMP如果必须分析加密流量只能看握手阶段的证书和协商参数应用层内容无法解密。5.4 时间戳和实际对不上现象报告里写「第 3 秒发送请求」但截图上的时间列显示的是 1970 年或者差 8 小时。原因时间显示格式设成了「秒 since 1970」或时区不是本地时区。解决视图菜单里改成「日期和时间」首选项里把时区设为 Asia/Shanghai。改完后所有包的时间列会统一刷新。5.5 保存的文件打不开或丢包现象实验做到一半保存换台电脑打开发现包少了很多或者文件损坏。原因抓包时没设输出文件内存满了导致丢包或者保存时选了不兼容的格式。解决长时间抓包务必在捕获选项里设置「输出文件」并勾选「按大小滚动」保存格式统一用 pcapng兼容性和功能都更好。6. 进阶技巧用 IO 图和时间差把实验报告写出深度6.1 用 IO 图展示流量随时间的变化菜单「统计 → I/O 图」能画出每秒包数或字节数的折线图。实验报告里如果只贴包列表截图显得很平加一张 IO 图说明「第 2 秒到第 4 秒出现流量高峰对应三次握手后的数据传输阶段」立刻就有分析的味道了。IO 图还可以叠加多条曲线比如同时显示 TCP 和 ICMP 的包数对比不同协议的活跃程度。6.2 用时间差列量化一次交互的耗时在包列表的列标题上右键选「列首选项」可以添加一列「时间差」Delta time。这一列显示的是当前包和上一个包的时间间隔。分析 TCP 三次握手时把时间差列打开你能直接读出 SYN 到 SYN-ACK 用了多少毫秒SYN-ACK 到 ACK 又用了多少毫秒。这些数字写进报告比「很快」「大约一秒」专业得多。# 典型的三次握手时间差单位秒 包 1 SYN - 时间差 0.000000 包 2 SYN-ACK - 时间差 0.000312 包 3 ACK - 时间差 0.000198如果时间差异常大比如 SYN 到 SYN-ACK 超过 1 秒说明网络有延迟或丢包这本身就是可以写进报告的发现。6.3 用「专家信息」快速定位异常包菜单「分析 → 专家信息」会把所有异常包按严重程度分类错误、警告、注意、对话。常见的红色错误包括 TCP 重传、重复 ACK、零窗口。实验里如果抓到了重传包可以在报告里写「观察到第 N 号包发生重传说明链路存在丢包」这是从抓包工具上升到网络诊断的关键一步。我自己带实验时最常提醒学生的一句话是不要为了截图而抓包要为了回答一个问题而抓包。每次开始抓之前先想清楚「我要验证哪个协议字段」抓完立刻用过滤器筛出来趁热写进报告。拖到第二天再整理那些包序号和时间差早就忘了对应关系。希望帮到你。本文还有配套的精品资源点击获取
WireShark抓包实验全攻略：从过滤器语法到TCP流分析
简介这份资源是面向计算机网络课程学习者与网络初学者的Wireshark抓包分析练习文档围绕数据包捕获与协议解析展开帮助读者理解网络通信的底层细节。内容涵盖软件安装与启动捕获、主界面三区结构、显示过滤器设置如按IP地址过滤、TCP流跟踪查看HTTP交互以及帧号、时间戳、源目地址、协议层次等字段含义并逐层解析以太网帧头部、IP包头部与TCP数据段信息。资源包共1个doc文件约592KB以图文结合方式记录实验过程与字段说明便于对照教材完成练习。目前已有85人学习。读者可借此掌握Wireshark基本操作与抓包分析方法理解协议封装结构为网络排错、性能优化及协议原理学习打下基础。1. 从一份 .doc 实验报告说起WireShark 抓包到底在抓什么很多人第一次接触计算机网络实验拿到的任务书就是一份 Word 文档标题写着「WireShark 捕获和分析数据包」。打开一看要求无非是选一块网卡开抓访问一个网站或者 ping 一个地址然后找到对应的数据包把每一层协议头展开截图写进报告。听起来简单但真正动手时问题全冒出来了——抓了一大堆包不知道哪个是自己要的过滤器写错一个字符什么都出不来TCP 流跟到一半看不懂序号和确认号最后报告里只能贴几张图凑字数。这份实验真正要训练的能力不是「会点开始和停止」而是用 WireShark 把抽象的网络协议变成肉眼可见的字节流再反过来用这些字节流验证课本上的分层模型。它适合正在学计算机网络的学生、准备期末或考研复试的考生也适合刚入行需要排查网络问题的运维和开发。你不需要先成为协议专家但需要知道每一列、每一个过滤器表达式背后对应的是哪一层、哪个字段。下面我按自己带实验和排查线上问题的顺序把从安装到分析再到避坑的完整路径拆开讲。2. 装好就能抓WireShark 的网卡选择与捕获参数怎么定2.1 安装时最容易忽略的两个组件WireShark 本身只是一个分析前端真正干活的是底层的抓包驱动。Windows 上安装时会提示安装 Npcap这一步不能跳过否则打开软件后接口列表是空的。Npcap 在安装过程中有一个选项叫「Install Npcap in WinPcap API-compatible Mode」如果你后续要用到一些老旧的网络工具建议勾上纯做实验不勾也不影响。安装完成后第一次启动界面会列出所有网络接口每个接口后面有实时的小波形图。这里有个新手常犯的错看到一堆接口不知道选哪个随便选了一个发现抓不到任何包。判断方法很简单看哪个接口的波形在跳动——你当前上网用的那个接口一定在动。如果用的是无线网卡接口名里通常带「Wi-Fi」或「WLAN」有线就是「以太网」或「Ethernet」。提示如果所有接口都没有波形先确认 Npcap 服务是否在运行再检查是否有管理员权限。WireShark 在 Windows 上抓包需要管理员权限右键以管理员身份运行是最省事的做法。2.2 捕获选项里的四个关键参数双击接口名会直接开始抓包但更推荐点菜单栏的「捕获 → 选项」在这里把参数设好再开始。四个参数决定了你抓到的数据有没有用参数作用实验场景建议值混杂模式抓取经过网卡的所有帧不只是发给本机的实验环境勾选生产环境慎用捕获过滤器在抓包阶段就丢弃不匹配的包减少文件体积明确目标时填写如icmp限制每个包的大小只保留每个包的前 N 字节默认 262144 即可除非只关心头部输出文件边抓边写盘避免内存爆掉长时间抓包必设按时间或大小滚动捕获过滤器的语法和显示过滤器不同它用的是 BPF 语法。比如只想抓 ICMP 报文捕获过滤器写icmp只想抓某台主机的流量写host 192.168.1.100。这里先有个印象下一章会详细对比两种过滤器的区别。2.3 用最小命令跑通第一次抓包选好接口、设好捕获过滤器icmp点「开始」。然后在另一个窗口执行一条 ping 命令# Windows 下 ping 一个公网地址发 4 个包就停 ping -n 4 8.8.8.8 # Linux 或 macOS 下对应写法 ping -c 4 8.8.8.8回到 WireShark你应该能看到 8 个包4 个请求 4 个回复。如果什么都没抓到先检查捕获过滤器是不是写成了显示过滤器的语法比如写成了ip.proto 1这在捕获阶段是不认的。点停止按钮把文件保存为.pcapng格式这是后续分析的基础。注意保存时选 pcapng 而不是 pcappcapng 支持多接口、注释和更精确的时间戳是现在的主流格式。如果老师要求交 pcap再另存一份即可。3. 显示过滤器语法从一堆包里捞出你要的那几个3.1 捕获过滤器和显示过滤器的本质区别这是实验报告里最容易被扣分的知识点。捕获过滤器在数据包进入 WireShark 之前就生效不匹配的包直接丢弃所以它不能用来过滤已经抓到的包语法是 BPF。显示过滤器作用在已经抓到的包上随时可以改语法是 WireShark 自己的表达式。两者的常见对应关系如下需求捕获过滤器BPF显示过滤器只看 ICMPicmpicmp只看某 IPhost 10.0.0.5ip.addr 10.0.0.5只看某端口port 443tcp.port 443排除某 IPnot host 10.0.0.5ip.addr ! 10.0.0.5只看 TCP SYN不常用tcp.flags.syn 1 tcp.flags.ack 0实验里最常考的是显示过滤器因为报告需要你从已有抓包文件中筛选。记住一个原则字段名用点号分层比较用双等号逻辑用 and/or/not 或 /||/!。3.2 五个必须练熟的过滤表达式下面这几条覆盖了计算机网络实验八成以上的场景建议在同一个抓包文件里逐条试一遍观察结果条数的变化。# 1. 只看 ARP 请求和回复用于观察地址解析 arp # 2. 只看 TCP 三次握手的前两个包 tcp.flags.syn 1 # 3. 只看 HTTP 的 GET 请求 http.request.method GET # 4. 只看 DNS 查询和响应 dns # 5. 组合条件某 IP 且非本机发出的 ICMP icmp ip.src 192.168.1.100每输入一条注意看顶部过滤框变绿还是变红。绿色表示语法正确红色表示有错此时下方会给出具体哪个字符有问题。常见的红色错误包括把写成、字段名拼错比如ip.adrr、字符串没用双引号。3.3 用「应用为过滤器」和「对话」快速定位如果你不知道字段名怎么写有个偷懒但高效的办法在包列表里右键某个字段选「应用为过滤器 → 选中」WireShark 会自动生成对应的显示过滤器。比如右键一个 TCP 包的源端口选「选中」过滤框里就会出现tcp.srcport 54321。另一个实验报告加分项是「统计 → 对话」。它能按 MAC、IP、TCP/UDP 端口列出所有通信对并按字节数排序。写报告时用这个功能说明「本次实验中流量最大的会话是哪一个」比单纯截图有说服力得多。提示对话窗口里的「绝对时间」列可以帮你判断哪个会话开始得最早结合包列表的时间列能快速还原一次完整交互的先后顺序。4. 逐层拆包以太网帧、IP 头、TCP 段到底看哪些字段4.1 从帧到段一次点击展开的完整路径在包列表里点中任意一个包下方的详情面板会按协议分层展开。以一次普通的网页访问为例展开顺序是Frame物理层信息→ Ethernet II数据链路层→ Internet Protocol Version 4网络层→ Transmission Control Protocol传输层→ HTTP应用层。每一层前面的小箭头可以继续展开看到每个字段的十六进制值和含义。实验报告通常要求你标注出以下字段我按层列出来照着找就行以太网帧目的 MAC、源 MAC、类型0x0800 表示上层是 IPv4IP 头版本、首部长度、总长度、标识、标志、片偏移、TTL、协议号、源 IP、目的 IPTCP 段源端口、目的端口、序号、确认号、首部长度、标志位SYN/ACK/FIN/RST、窗口大小HTTP请求方法、URL、Host 头、响应状态码4.2 用 TCP 流跟踪还原一次完整会话单个包看不出故事右键任意一个 TCP 包选「追踪流 → TCP 流」WireShark 会把属于同一个 TCP 连接的所有包按顺序拼在一起左边是客户端发的右边是服务器发的。这个功能在分析 HTTP 请求响应时特别有用因为你能直接看到请求头和响应体的原始文本。# 追踪流窗口里典型的 HTTP 请求开头 GET /index.html HTTP/1.1 Host: example.com User-Agent: Mozilla/5.0 ... Accept: text/html # 对应的响应开头 HTTP/1.1 200 OK Content-Type: text/html; charsetUTF-8 Content-Length: 1256如果追踪流里出现乱码先看是不是 HTTPS 流量。HTTPS 在传输层之上是加密的WireShark 只能看到 TLS 握手和加密的应用数据看不到明文 HTTP。实验里如果要求分析 HTTP记得访问http://开头的地址或者用http显示过滤器确认抓到的确实是明文。4.3 时间列改成北京时间报告截图更友好WireShark 默认显示的是相对时间或 UTC写报告时经常需要标注「第几秒发生了什么」。菜单「视图 → 时间显示格式」里可以切换选「日期和时间」会显示绝对时间。如果发现比北京时间慢 8 小时那是时区设置问题在「编辑 → 首选项 → 外观 → 时间」里把时区调成 Asia/Shanghai 即可。注意调整时间显示格式不会改变包本身的时间戳只是改变显示方式。如果报告要求精确到毫秒选「日期和时间」后还能在列设置里把精度调到微秒。5. 避坑与排查实验报告里最容易翻车的五个地方5.1 抓不到任何包接口列表还是空的现象打开 WireShark接口列表一片空白或者选了接口开始后一个包都没有。原因Npcap 没装成功或者当前用户没有管理员权限再或者选错了接口比如选了虚拟网卡。解决重新运行安装包确认 Npcap 勾选以管理员身份重启 WireShark在「捕获 → 选项」里逐个接口看波形选有波动的那个。5.2 过滤器写对了但结果为零现象显示过滤器输入http语法是绿色的但一个包都不显示。原因抓包时访问的是 HTTPS 网站或者抓包阶段用了过于严格的捕获过滤器把 HTTP 包提前丢了。解决先清空显示过滤器看总包数是否正常确认访问的 URL 是http://开头检查捕获过滤器是否误写了port 443之类。5.3 TCP 流跟踪里全是乱码现象追踪流窗口显示一堆不可读字符或者提示「未找到 TCP 流」。原因流量是加密的TLS/SSH或者选中的包不属于任何完整 TCP 连接比如只抓到了中间某个包。解决换一个明文协议做实验比如 HTTP、DNS、ICMP如果必须分析加密流量只能看握手阶段的证书和协商参数应用层内容无法解密。5.4 时间戳和实际对不上现象报告里写「第 3 秒发送请求」但截图上的时间列显示的是 1970 年或者差 8 小时。原因时间显示格式设成了「秒 since 1970」或时区不是本地时区。解决视图菜单里改成「日期和时间」首选项里把时区设为 Asia/Shanghai。改完后所有包的时间列会统一刷新。5.5 保存的文件打不开或丢包现象实验做到一半保存换台电脑打开发现包少了很多或者文件损坏。原因抓包时没设输出文件内存满了导致丢包或者保存时选了不兼容的格式。解决长时间抓包务必在捕获选项里设置「输出文件」并勾选「按大小滚动」保存格式统一用 pcapng兼容性和功能都更好。6. 进阶技巧用 IO 图和时间差把实验报告写出深度6.1 用 IO 图展示流量随时间的变化菜单「统计 → I/O 图」能画出每秒包数或字节数的折线图。实验报告里如果只贴包列表截图显得很平加一张 IO 图说明「第 2 秒到第 4 秒出现流量高峰对应三次握手后的数据传输阶段」立刻就有分析的味道了。IO 图还可以叠加多条曲线比如同时显示 TCP 和 ICMP 的包数对比不同协议的活跃程度。6.2 用时间差列量化一次交互的耗时在包列表的列标题上右键选「列首选项」可以添加一列「时间差」Delta time。这一列显示的是当前包和上一个包的时间间隔。分析 TCP 三次握手时把时间差列打开你能直接读出 SYN 到 SYN-ACK 用了多少毫秒SYN-ACK 到 ACK 又用了多少毫秒。这些数字写进报告比「很快」「大约一秒」专业得多。# 典型的三次握手时间差单位秒 包 1 SYN - 时间差 0.000000 包 2 SYN-ACK - 时间差 0.000312 包 3 ACK - 时间差 0.000198如果时间差异常大比如 SYN 到 SYN-ACK 超过 1 秒说明网络有延迟或丢包这本身就是可以写进报告的发现。6.3 用「专家信息」快速定位异常包菜单「分析 → 专家信息」会把所有异常包按严重程度分类错误、警告、注意、对话。常见的红色错误包括 TCP 重传、重复 ACK、零窗口。实验里如果抓到了重传包可以在报告里写「观察到第 N 号包发生重传说明链路存在丢包」这是从抓包工具上升到网络诊断的关键一步。我自己带实验时最常提醒学生的一句话是不要为了截图而抓包要为了回答一个问题而抓包。每次开始抓之前先想清楚「我要验证哪个协议字段」抓完立刻用过滤器筛出来趁热写进报告。拖到第二天再整理那些包序号和时间差早就忘了对应关系。希望帮到你。本文还有配套的精品资源点击获取
