抓包自己也会丢包
采集工具并不是无损的：当写入速度跟不上收包速度时，驱动或采集进程会丢弃来不及处理的报文，抓包文件因此出现缺口。这种由工具造成的缺失在排障中最容易被误读为业务丢包，把结论直接引向错误方向。规避办法是采集前先评估容量——放大缓冲、写到高速磁盘、控制过滤范围——并在采集结束时核对统计里的丢弃计数与文件时长，确认这份数据能否作为证据。
基本信息
| 适用平台 | Wireshark、dumpcap、tshark 等采集工具 |
|---|---|
| 查看方式 | 采集结束时输出统计，或用周期统计选项 |
| 缓解手段 | 放大缓冲、写高速盘、缩小过滤范围 |
| 判据 | 丢弃计数为零且文件时长覆盖业务窗口，数据才可用 |
典型使用场景
- 高流量环境下确认抓包结果是否可信
- 抓包文件与业务日志对不上时查找采集侧原因
- 为长时采集制定容量预算
- 排查「抓包里没有这条报文」究竟是没发还是没抓到
- 对比不同缓冲配置下的丢弃情况
- 为交付给其他团队的抓包文件标注可信度
示例
示例
dumpcap -i eth0 -w a.pcapng -S -q # 周期打印统计
dumpcap -i eth0 -w b.pcapng -B 256 -q # 放大缓冲(单位 MB)
# 结束或周期输出中核对丢弃计数
# 磁盘写满也会静默停止写入，结束前核对文件大小与时长
# 丢弃计数非零时，结论需要降级处理观察项逐项读法
| 观察项 | 含义 | 异常信号 |
|---|---|---|
| 丢弃计数 | 采集侧丢掉的报文数 | 非零即说明数据不完整 |
| 文件时长 | 实际覆盖的时间范围 | 短于预期说明中途停止或写满 |
| 文件大小增速 | 写入是否跟得上 | 增速骤降提示磁盘或缓冲瓶颈 |
| 接口列表 | 采集覆盖的接口 | 接口选错会得到空文件 |
高负载下先扩缓冲并改用高速盘，再谈分析结论；把采集侧缺口当业务丢包是常见误判来源。
磁盘写满会让采集静默停止，长时任务结束前必须核对文件大小与时长是否与预期一致。