🛠️ 在线运维工具箱

怎么用它排查问题？

• 先看「诊断结论」：红色=必须处理，黄色=需要关注，蓝色=一般说明，绿色=未发现异常。
• 每条结论都会给出原因分析和排查方向，并列出相关报文编号，点编号可直接跳到那个包。
• 结论为空或全绿时，看「数据包」列表里的摘要，或点开任意报文看逐包讲解。

显示过滤器支持哪些写法？

• 字段比较：ip.addr==10.0.0.5、ip.src==192.168.1.1、tcp.port==443、tcp.dstport==80
• 标志位：tcp.flags.syn==1、tcp.flags.reset==1、tcp.flags.fin==1、tcp.flags.ack==1
• 异常标记：tcp.analysis.retransmission、tcp.analysis.duplicate_ack、tcp.analysis.out_of_order、tcp.analysis.zero_window
• 应用层：dns、http、tls、http.response.code>=400、http.host contains example、dns.qry.name contains baidu
• 数值比较：frame.len>1000、ip.ttl<64、tcp.window==0、frame.number>100
• 逻辑运算：&&（与）、||（或）、!（非）、括号，也支持 and/or/not 写法
• 协议裸词：tcp、udp、icmp、arp、dns、http、http2、tls、quic、ftp、smtp、pop3、imap、ssh、telnet、bgp、smb2、ldap、sip、snmp、mysql、redis、postgresql、mongodb、lldp、stp、eapol、vxlan、gre、data

常见问题

• 校验和错误：如果同台机器抓的包都报校验和错误，通常是网卡 checksum offload 造成的正常现象，不是故障。
• 超大帧：抓包点在网卡 TSO/GSO 之前会看到大于 MTU 的帧，不代表链路上真的传了这么大的帧。
• 零窗口：接收缓冲区满，几乎总是接收端应用读取太慢，而不是网络问题。
• 我该在哪里抓包？两端同时抓（客户端+服务端）对比最有价值：如果一端发了、另一端没收到，问题就在中间链路。
• 文件太大解析慢：建议先用 Wireshark 的显示过滤器筛掉无关流量，File → Export Specified Packets 只导出需要的部分。

隐私说明

• 解析完全由浏览器中的 JavaScript 完成，文件内容没有任何网络请求发出。
• 关闭或刷新页面后数据即消失，本站不保存、不记录、不上传你的抓包内容。