相对序列号显示
Wireshark 默认把每条流的序列号减去一个基数显示成相对值，首包为 0，方便人眼对比与口算偏移。做取证、或者要与设备日志与内核计数交叉核对时，就需要切回 32 位绝对序列号，否则两边的数字对不上。切换入口在 TCP 协议首选项里，改完立即作用于所有已打开的文件。
基本信息
| 适用平台 | Wireshark（TCP 协议首选项） |
|---|---|
| 入口 | Edit → Preferences → Protocols → TCP → Relative sequence numbers |
| 默认状态 | 勾选，即相对显示 |
| 对照要点 | tcpdump 默认输出绝对序列号，跨工具核对前先统一视角 |
典型使用场景
- 日常分析：相对显示让偏移量一眼可算，读起来轻快
- 取证与对账：与设备日志、内核计数比对时切回绝对值
- 跨工具核对：把 tcpdump 输出与 Wireshark 视图对齐
- 团队协作：统一显示设置，避免对同一抓包得出不同结论
- 教学演示：相对值更易解释握手过程与数据偏移
操作步骤
操作步骤
# Edit → Preferences → Protocols → TCP
# 勾选或取消 Relative sequence numbers
# 切换后重新查看同一报文，比较 seq 与 ack 列的变化
# tcpdump 默认输出绝对序列号，可用来交叉验证显示差异对照
| 显示模式 | 首包 seq 显示 | 适用场景 |
|---|---|---|
| 相对（默认） | 0 | 日常分析、教学、口算偏移 |
| 绝对 | 32 位随机初始值 | 取证、与日志或内核计数核对 |
| tcpdump 输出 | 绝对序列号 | 与系统工具交叉验证 |
相对显示下看到负值或大幅跳变，往往只是视图基数差异造成的，并不代表报文异常。分析之前先确认当前的显示模式，可以省掉一轮无效排查。
多人协作时建议统一显示设置。同一份抓包在不同设置下会呈现不同的序列号数字，直接对着数字讨论容易产生分歧。
这个设置属于协议首选项并随配置集保存，换机器或换配置集之后行为可能不同，交接时最好在文档里注明当前设置。