首页 / 在线运维工具箱 / Wireshark 数据包分析

🦈 Wireshark 数据包分析

上传 Wireshark / tcpdump 抓到的 .pcap 或 .pcapng 文件，自动解析到协议细节，指出可能存在的问题（重传、丢包、RST、零窗口、握手失败、DNS 异常、TLS 告警、ARP 冲突、端口扫描等）；若没有异常，则逐包讲解每个报文的作用。支持显示过滤器、会话统计与 TCP 流追踪。

已覆盖协议（90+）： 以太网 / VLAN / QinQ / LACP / LLDP / CDP / STP·RSTP·MSTP / EAPOL(802.1X) / IS-IS IPv4 / IPv6（扩展头·分片）TCP / UDP / SCTP ICMP / ICMPv6 / IGMP / PIMARP / DHCP / DHCPv6 DNS / mDNS / LLMNR / NetBIOSNTP / PTP SNMP v1·v2c·v3 / Syslog / NetFlow / IPFIX / sFlow / Zabbix HTTP/1.x / HTTP/2（帧级）/ WebSocket / TLS·SSL / QUIC / DTLS / STUN·TURN FTP / SMTP / POP3 / IMAP / SSH / Telnet / TFTP / Rsync / NFS / iSCSI BGP / OSPF / EIGRP / RIP / VRRP / HSRP / BFD SMB2/SMB3 / LDAP / Kerberos / NTLMSSP / RADIUS / TACACS+ / SIP MySQL / Redis / PostgreSQL / MongoDB / Oracle TNS / MSSQL TDS AMQP(RabbitMQ) / Kafka / Memcached / ZooKeeper / Cassandra / etcd VXLAN（含内层解包）/ GRE（含内层）/ IPsec IKE·ESP·AH / L2TP / PPTP / OpenVPN / WireGuard RTSP / RTP·RTCP / MQTT / CoAP / Modbus / S7comm / SSDP / UPnP / RDP 识别

🔒 抓包文件不会上传到服务器，也不会被保存，全部解析仅在内存中完成

📦

把抓包文件拖到这里，或点击选择文件

支持 .pcap / .pcapng（Wireshark 默认导出格式）· 建议单个文件小于 50 MB

诊断结论0

数据包0

TCP 会话0

统计

分析报告

使用说明

#	时间	相对	源	目的	协议	长度	摘要 / 说明

📊 图文报告 📄 纯文本（便于粘贴）

怎么用它排查问题？

先看「诊断结论」：红色=必须处理，黄色=需要关注，蓝色=一般说明，绿色=未发现异常。
每条结论都会给出原因分析和排查方向，并列出相关报文编号，点编号可直接跳到那个包。
结论为空或全绿时，看「数据包」列表里的摘要，或点开任意报文看逐包讲解。

显示过滤器支持哪些写法？

字段比较：ip.addr==10.0.0.5、ip.src==192.168.1.1、tcp.port==443、tcp.dstport==80
标志位：tcp.flags.syn==1、tcp.flags.reset==1、tcp.flags.fin==1、tcp.flags.ack==1
异常标记：tcp.analysis.retransmission、tcp.analysis.duplicate_ack、tcp.analysis.out_of_order、tcp.analysis.zero_window
应用层：dns、http、tls、http.response.code>=400、http.host contains example、dns.qry.name contains baidu
数值比较：frame.len>1000、ip.ttl<64、tcp.window==0、frame.number>100
逻辑运算：&&（与）、||（或）、!（非）、括号，也支持 and/or/not 写法
协议裸词：tcp、udp、icmp、arp、dns、http、http2、tls、quic、ftp、smtp、pop3、imap、ssh、telnet、bgp、smb2、ldap、sip、snmp、mysql、redis、postgresql、mongodb、lldp、stp、eapol、vxlan、gre、data

常见问题

校验和错误：如果同台机器抓的包都报校验和错误，通常是网卡 checksum offload 造成的正常现象，不是故障。
超大帧：抓包点在网卡 TSO/GSO 之前会看到大于 MTU 的帧，不代表链路上真的传了这么大的帧。
零窗口：接收缓冲区满，几乎总是接收端应用读取太慢，而不是网络问题。
我该在哪里抓包？两端同时抓（客户端+服务端）对比最有价值：如果一端发了、另一端没收到，问题就在中间链路。
文件太大解析慢：建议先用 Wireshark 的显示过滤器筛掉无关流量，File → Export Specified Packets 只导出需要的部分。

隐私说明

解析完全由浏览器中的 JavaScript 完成，文件内容没有任何网络请求发出。
关闭或刷新页面后数据即消失，本站不保存、不记录、不上传你的抓包内容。