为什么要固定结构
抓包排查的价值在于可重现：只有把时间、对象、过滤条件和关键帧都写清楚，别人才能重现你的视图并验证结论。因此报告需要固定结构——现象说清时间与涉及方，证据给出可执行的过滤条件与帧号，定位落到具体层次与方向，建议给出可验证的动作。缺任何一环，报告都会退化成「我觉得是网络问题」这类无法推进的表述。
基本信息
| 适用平台 | 与工具无关，Wireshark、tcpdump 结论均可套用 |
|---|---|
| 必备要素 | 时间线、五元组、过滤条件、结论与依据 |
| 时间写法 | 带时区，跨时区团队协作时尤其重要 |
| 附件建议 | 原始抓包文件与导出明细一并提交 |
典型使用场景
- 向其他团队同步网络排查结论并请求配合
- 为工单或事故复盘提供可复核的技术依据
- 把一次排查沉淀为模板，下次同类问题直接套用
- 在改造前后各出一份报告做对照，验证优化效果
- 为跨厂商问题定界：证明数据在进入对方网络前是完整的
- 作为知识库素材，减少同类问题重复排查
模板示例
模板示例
现象：10.0.0.9:52413 ↔ 10.0.0.20:443 12:03 起首字节 >2s
证据：tcp.stream==12 存在 3 次超时重传（tcp.analysis.retransmission）
过滤：ip.addr==10.0.0.20 && tcp.port==443 && tcp.stream==12
定位：下行方向丢包（服务端侧同会话无重传）
建议：核查 10.0.0.20 出口链路质量并复测报告要素逐项
| 要素 | 写什么 | 常见缺失 |
|---|---|---|
| 现象 | 时间、涉及方、可量化的表现 | 只写「很慢」，没有时间与对象 |
| 证据 | 过滤条件、帧号、关键标注 | 只给结论不给过滤条件 |
| 定位 | 哪一层、哪个方向、哪一侧 | 越过定界直接给处置方案 |
| 建议 | 可验证的动作与复测方式 | 给出无法验证的泛泛建议 |
| 附件 | 抓包文件与导出明细 | 附件缺失导致无法复核 |
给出过滤条件与帧号，让复核者能一键重现你的视图，这比长篇描述更有效。
时间一律带时区：跨时区协作时同一串数字会被解读成不同时刻，容易产生错误对照。