| 用途 | 输出可复核的 TCP 排查报告 |
|---|---|
| 要素 | 时间线、五元组、过滤条件、结论与依据 |
模板示例
模板示例
现象：10.0.0.9:52413 ↔ 10.0.0.20:443 12:03 起首字节 >2s
证据：tcp.stream==12 存在 3 次超时重传（tcp.analysis.retransmission）
定位：下行方向丢包（服务端侧同会话无重传）
建议：核查 10.0.0.20 出口链路质量并复测给出过滤条件与帧号，让复核者能一键重现你的视图。
TCP 分析结论的组织方式
把抓包结论整理成固定结构：现象（时间与对象）、证据（过滤条件与关键包）、定位（哪一层/哪一侧）、建议（可验证动作），便于他人复核。
易错点
- 报告只写结论不附证据无法复核，抓包排查的价值在可重现
- 时间要带时区，跨时区团队协作更稳
数据来源与参考
- Wireshark User's Guide（工作方法）