Expert Information 是什么
Expert Information 是 Wireshark 内置分析器（Expert）的汇总面板，把它在解析过程中识别出的异常按严重级别归成一张清单：连接重置、重传、重复确认、乱序、窗口归零、校验和错误等都在里面。它的定位是分析入口而不是结论——清单告诉你哪里值得看，具体成因仍要回到报文序列与两端日志去确认。
基本信息
| 图形入口 | Analyze → Expert Information |
|---|---|
| 命令行等价 | tshark -r a.pcap -q -z expert |
| 严重级别 | Error、Warning、Note、Chat，按级别可分组过滤 |
| 交互方式 | 点击任意条目跳转到对应的样本帧 |
| 作用范围 | 仅覆盖当前已加载的帧集与已成功解析的协议 |
| 字段对应 | 每条对应一个 expert.severity 与 expert.group |
典型使用场景
- 初次接触一份陌生抓包：先看清单确定有几个异常类别，再挑与现象相关的深挖
- 快速自检：交付前跑一遍，确认没有明显的连接复位或校验和异常被漏掉
- 批量筛查：对多个抓包文件跑 tshark -z expert，比对异常类别分布找出共性
- 回归验证：改动前后各抓一段，看某类异常计数是否下降
- 给同事指路：把条目对应的帧号写进工单，对方不用重新找
命令行输出与定位
命令行输出与定位
tshark -r a.pcap -q -z expert # 按级别汇总异常条目
# 只看某一类，例如重传
tshark -r a.pcap -Y 'tcp.analysis.retransmission' -T fields -e frame.number | head
tshark -r a.pcap -Y 'expert.severity == error' -T fields -e frame.number -e _ws.expert.message常见条目与判读
| 条目 | 常见级别 | 通常含义 |
|---|---|---|
| Connection reset | Note | 收到 RST，需结合关闭时序判断是否正常 |
| Retransmission | Note | 超时重传，先看是否有丢包 |
| Fast retransmission | Note | 重复确认触发的快速重传，通常伴随乱序 |
| Duplicate ACK | Note | 对同一序号重复确认，可能预示丢包 |
| Zero window | Warning | 接收方窗口归零，通常是消费端处理不过来 |
| Checksum incorrect | Error | 多为网卡校验和卸载造成，不一定真有错 |
在已套用显示过滤的帧集上打开该面板，统计范围只覆盖当前可见帧，与全文件数字对不上是正常的；出数前先清除过滤再跑一遍。
校验和错误在使用网卡校验和卸载的主机上普遍出现：报文发出时内核还没填好校验和，抓包点先于网卡看到帧。这类条目要结合抓包位置判断，不能直接判定协议异常。