Expert Information 是什么
Wireshark 的 Expert Information 是一份自动生成的体检报告：把捕获文件里的事件按 Errors、Warnings、Notes 三级归类，列出重传、乱序、零窗口、重复 ACK、连接复位等异常，并可直接跳转到对应报文。它适合作为分析第一步——先看异常量级与集中在哪些流，再决定打开哪条会话细看，而不是从头逐包翻。
基本信息
| 适用平台 | Wireshark 界面 / tshark 命令行 |
|---|---|
| 入口 | Analyze → Expert Information；统计菜单下还有 Conversations、I/O Graph、Protocol Hierarchy |
| tshark 等效 | -z expert 打印专家信息，-z conv,tcp 输出会话统计 |
| 分级 | Errors 硬错误、Warnings 传输异常、Notes 提示性信息 |
| 典型用法 | 先看异常总量，再按流聚合确认集中在哪条连接上 |
典型使用场景
- 拿到一份别人的 pcap 不知从何看起：先用专家信息定位异常集中点
- 区分偶发与常态：对照正常时段的抓包，看异常事件的基线量级
- 找出慢在哪个流：结合 Conversations 按流量与时长排序
- 复盘故障窗口：用 I/O Graph 看速率曲线与异常事件是否同一时刻
- 快速判断协议构成：Protocol Hierarchy 看是否有意料之外的协议流量
统计入口与命令等效
统计入口与命令等效
Analyze → Expert Information # 异常事件汇总（Errors / Warnings / Notes）
Statistics → Conversations # 会话与流量排行，可切 TCP/UDP 维度
Statistics → I/O Graph # 速率曲线，定位突发时刻
Statistics → Protocol Hierarchy # 协议构成，发现意外协议
# tshark 等效：
tshark -r capture.pcap -z expert
tshark -r capture.pcap -q -z conv,tcp
tshark -r capture.pcap -q -z io,stat,1 # 每秒统计一次，看速率时间线三级分类怎么用
| 级别 | 典型内容 | 判读要点 |
|---|---|---|
| Errors | 校验和错误、格式错误、畸形报文 | 本机抓包时校验和错误常是网卡卸载造成的假象 |
| Warnings | 重传、快速重传、乱序、零窗口、连接复位 | 先看总量与集中度，再逐条下钻 |
| Notes | 重复 ACK、连接重连、广播、窗口更新 | 多数属正常行为，用于解释现象而非定责 |
| Conversations | 按字节数与包数排序的会话 | 找大户，避免只盯异常忽略真正的流量来源 |
| I/O Graph | 时间轴上的包数与字节速率 | 把异常时刻与业务日志时间对齐 |
本机抓包时校验和错误与重传常由网卡卸载（checksum offload）造成假象：先在协议首选项里关闭 TCP 校验和验证，或暂时关闭卸载，再据专家信息判读。