tcp.analysis 字段是什么
Wireshark 的 TCP 分析引擎会给报文打上事件标注，统一归在 tcp.analysis 字段树下，按事件类型分层：重传类、确认类、窗口类、顺序类。用 tcp.analysis.flags 能一次筛出所有被标注的报文，再按子字段细分定位具体问题；标注是引擎的推断，重要结论仍需回到 seq 与 ack 的实际取值核对。
基本信息
| 适用工具 | Wireshark 3.x / 4.x |
|---|---|
| 汇总过滤器 | tcp.analysis.flags |
| 标注性质 | 分析引擎的推断结果，不等于事实 |
| 复核方式 | 回到 seq/ack 取值与前后报文确认 |
| 取数前提 | 报文需包含足够上下文，中途开始的抓包可信度下降 |
典型使用场景
- 一次性列出所有异常事件，快速评估会话质量
- 把重传类与窗口类分开统计，判断瓶颈方向
- 核对重复 ACK 是否达到快速重传阈值
- 在做吞吐优化前建立异常事件的基线
- 交接时用统一字段口径描述问题，减少沟通歧义
组合示例
组合示例
tcp.analysis.flags # 全部被标注的报文
tcp.analysis.retransmission || tcp.analysis.fast_retransmission # 重传类
tcp.analysis.flags && !tcp.analysis.window_update # 排除窗口更新
tcp.analysis.duplicate_ack.num >= 3 # 达到快重传阈值分类速查
| 类别 | 典型字段 | 含义 |
|---|---|---|
| 重传 | retransmission / fast_retransmission | 超时重传与快速重传 |
| 确认 | duplicate_ack / ack_lost_segment | 重复确认与确认丢失 |
| 窗口 | zero_window / window_full / window_probe | 接收侧背压信号 |
| 顺序 | out_of_order / lost_segment | 乱序与检测到丢段 |
不同版本的标注规则存在差异，跨版本复核重要结论时用同一份报文分别验证。
从流量中途开始抓包会缺少上下文，分析引擎的标注可信度明显下降。
补充要点
- 先用汇总字段看整体规模，再用子字段定位具体事件类型
- 重传类事件占比高说明链路质量或拥塞问题突出
- 窗口类事件多说明瓶颈在接收侧处理能力
- 顺序类事件多说明路径存在乱序或分发不均
统计各类型事件数量时固定抓包点与过滤条件，结果才具备可比性。
分析规则会随版本更新，跨版本比较前先用同一份报文验证行为一致。