采点决定能回答什么问题
抓包位置不是随手选的：客户端侧采集能看到用户实际经历了什么，包含全部网络段；服务端侧采集能排除网络干扰，直接反映应用收到与发出的内容；网关或边界设备能看到跨网段行为与策略动作。位置一旦定下来，能回答的问题范围也就定下来了。因此正确顺序是先明确要验证的命题，再倒推需要哪些视角，条件允许时两端同时采集，结论最稳。
基本信息
| 适用平台 | 服务器、笔记本、容器、交换机镜像口、云内虚拟网卡 |
|---|---|
| 选择原则 | 离问题侧最近，且能提供判断所需的必要视角 |
| 常见组合 | 客户端 + 服务端两端同抓；跨网问题再加一个中间控制点 |
| 前置检查 | 采点自身容量是否足够，能否在不丢包的前提下完成采集 |
典型使用场景
- 用户反馈慢，需要先拿到包含全部网络段的端到端视图
- 服务端处理时间存疑，用服务端侧采集排除网络因素
- 跨网丢包，用两端加中间控制点做区段二分
- 验证中间设备是否改写或丢弃了特定报文
- 在无法登录客户端的环境下，退而求其次选择边界设备镜像
- 为采集方案定容量预算，避免抓包本身成为新的丢包源
场景对照
场景对照
用户说慢 → 客户端侧抓（含全部网络段）
服务端处理存疑 → 服务端侧抓（排除网络段干扰）
跨网丢包 → 两端都抓 + 中间控制点
策略或改写嫌疑 → 进出边界各抓一份做前后对照
# 每个采点都要先确认自己不丢包，否则证据不可用采点能力对照
| 采点位置 | 能看到什么 | 看不到什么 |
|---|---|---|
| 客户端侧 | 用户感知的完整时延与全部网络段 | 服务端处理细节与内部链路 |
| 服务端侧 | 应用收发内容与处理节奏 | 客户端侧与沿途链路的具体表现 |
| 边界设备 | 跨网段行为与策略动作结果 | 终端本地的实现细节 |
| 交换机镜像口 | 多台主机的汇总流量 | 主机本地栈内的丢弃与处理 |
采点距离问题段越远，看到的证据越间接；能用两端解决的问题不要靠单侧加推测。
虚拟机与容器采集时要确认视角：抓在虚拟网卡上看到的是宿主侧视角，与业务命名空间内的表现可能不同。