抓包在工控现场要解决什么
抓包是工控排障中信息量最大的手段之一：它能确认现场实际在跑什么协议、哪些设备在通信、通信周期是否稳定、以及故障时刻到底发生了什么。与办公网相比，工控抓包有三个不同点：一是抓包点通常只能通过交换机镜像获得，因此位置决定了能看到哪一段对话；二是通信是周期性的，短时间采集可能刚好错过异常，需要按故障复现条件设计采集时长；三是很多设备对异常报文敏感，主动探测要谨慎，优先做被动观察。
基本信息
| 抓包点选择 | 尽量选能同时看到双向流量的位置，否则只能看到请求看不到响应 |
|---|---|
| 采集方式 | 交换机端口镜像或网络分流设备，避免在生产链路中串接临时设备 |
| 过滤策略 | 按设备地址、协议或端口过滤，减少无关流量并控制文件体积 |
| 时间精度 | 采集设备时间与全网同步，便于与其他日志按时间线对齐 |
| 文件管理 | 原始报文留档并标注采集时间、位置、条件与目的，便于复核 |
| 常用分析维度 | 会话清单、请求与响应配对、异常码统计、周期与时序、数据量变化 |
抓包后怎么读
- 先看会话清单：有哪些通信对、使用哪些协议与端口，与台账和基线是否一致
- 再做请求响应配对：把每条请求和对应响应配起来，才能判断交互是否正常
- 看异常与重试：协议异常码、超时、重连次数，是故障与异常行为的直接线索
- 看周期与时序：正常轮询是规律周期，周期被破坏或出现突发通常意味着问题
- 看数据量分布：某个方向数据量异常增大或骤减，往往对应设备状态变化
- 与变更记录对照：把异常时间点与工程变更、检修操作比对，避免把正常动作当异常
抓包位置与可见范围
| 抓包位置 | 能看到 | 看不到 |
|---|---|---|
| 设备侧镜像端口 | 该设备与其他设备的全部通信 | 与该设备无关的通信 |
| 汇聚链路镜像 | 跨网段的通信，可见范围较广 | 同网段内部通信 |
| 控制区边界镜像 | 跨区通信与外部访问 | 区内的横向通信 |
| 主机侧采集 | 本机的完整协议交互细节 | 其他设备的通信 |
抓取到的报文里可能包含口令、地址映射与工艺参数等敏感内容，属于需要控制范围的技术资料。留存与共享时应限制访问，使用后在受控环境分析，避免通过即时通信工具随意传递。