交接三件套
抓包文件交付给别人时，光给一个 pcap 等于什么都没说：对方不知道从哪抓的、过滤了什么、时钟准不准，也无法独立复核你的结论。规范做法是交三样东西——文件本体（含哈希）、采集说明、分析结论（带帧号引用）。三件齐了，接收方不用追问就能复现你的判读过程。
基本信息
| 交付内容 | 文件本体 + 采集说明 + 分析结论 |
|---|---|
| 文件校验 | 提供 sha256 值与文件大小，证明文件未被改动 |
| 说明要素 | 抓包点位、过滤表达式、时钟状态、起止时间、包数 |
| 结论要素 | 帧号、时间戳、字段值、判读依据 |
| 传输方式 | 走组织指定的受控通道，不用公开网盘 |
| 裁剪原则 | 大文件先按时间窗裁出关键片段再交付 |
典型使用场景
- 跨团队协作：网络组抓包、应用组分析，说明写清点位才能真正对得上时间线
- 升级工单：把片段与结论附给厂商，减少来回澄清的轮次
- 归档留痕：审计或复盘时能凭说明还原当时的采集条件
- 人员交接：值班轮换时同事靠说明就能接手继续分析
- 争议复核：对方对结论有异议时，凭哈希与帧号独立验证
交付说明模板
交付说明模板
文件: cap-edge1-20261012.pcapng
大小: 48.2 MB sha256: 3f9c...ab7d
采集: 点位 edge1/eth0, 过滤 'tcp port 443', 时钟已 NTP 同步
规模: 12 万包 / 5 分钟 / 均值约 400 pps
裁剪: 原始 900 MB, 本次交付 03:10-03:15 关键片段
结论: 帧 1024-1500 出现三次超时重传, 见帧 1180 与 1322
工具: tcpdump 4.99 / Wireshark 4.2说明里必须写清的信息
| 字段 | 为什么必须写 | 缺失后果 |
|---|---|---|
| 抓包点位 | 决定时间线基准与可见范围 | 两端时间对不上，结论互相矛盾 |
| 过滤表达式 | 说明文件是全集还是子集 | 把子集当全网流量，误判丢包率 |
| 时钟状态 | 决定时间戳能否跨机比对 | 跨机比对得出错误因果 |
| 抓包工具与版本 | 影响解析与字段呈现 | 对方打开后看到不同结果 |
| 文件哈希 | 证明交付物完整 | 无法判断文件是否被改过 |
| 帧号引用 | 结论可定位可复核 | 结论只能整体接受或整体怀疑 |
交付前自己用另一台机器打开一次，确认文件能被正常解析、时间显示符合预期；这一步能提前暴露格式与编码问题，比事后被追问省时间。
结论里优先用「帧号 + 时间戳 + 字段值」的组合引用，帧号方便在 Wireshark 里跳转，时间戳方便与日志对照，字段值方便录像追溯。