| 用途 | 抓包内容构成速览 |
|---|---|
| 语法 | tshark -r f.pcap -q -z io,phs |
示例
示例
tshark -r a.pcap -q -z io,phs | head -40占比异常（如某协议突然增多）是问题切入点，而非结论。
本包目录（400 条）
tcpdump 过滤实战51 条Wireshark 技巧75 条TCP 流分析82 条应用层报文判读71 条丢包与时延定位60 条
抓包工具链61 条
- 抓包点选择原则
- 交换机镜像口（SPAN）要点
- 全链路观测点布局
- 容器内抓包方法
- Kubernetes Pod 抓包路径
- nsenter 进入网络命名空间
- 远端落盘再回传策略
- 非 root 抓包权限配置
- 抓包容量估算与存储规划
- dumpcap 基础用法
- tshark 常用统计一网打尽
- tshark 字段导出做表
- editcap 裁剪时间窗
- 大文件分段分析策略
- 命令行流水线预处理大文件
- 抓包文件脱敏处理
- 本地复现实验环境搭建
- 抓包任务收尾检查单
- ERSPAN 远程镜像
- 分光器与 TAP 的适用场景
- 节点侧抓包的覆盖面
- ss 与抓包联动定位进程
- lsof 反查端口与文件描述符
- any 接口抓包的限制
- Windows 抓包环境要点
- Windows 回环流量抓取
- Wireshark 远程接口（sshdump）
- rpcapd 远程采集注意项
- 采集机对时实践
- dumpcap 自动停止条件
- dumpcap 多接口采集
- tshark 会话统计判读
- 协议分层统计（io,phs）
- tshark I/O breakdown 统计
- tshark 两遍解析（-2）
- tshark 强制解码指定端口
- editcap 切分大文件
- 按包号挑选导出
- editcap 格式转换
- mergecap 合并多文件
- capinfos 文件完备性检查
- pcapng 块结构速览
- 过滤器书签与复用
- Wireshark 配置档管理
- 报文重放工具用法
- scapy 读包做定制统计
- 导出对象核对传输内容
- Expert Information 面板用法
- 自定义配色规则
- 抓包操作的合规与授权
- 抓包文件交接规范
- 抓包文件权限与保管
- 抓包文件命名规范
- 工单附件的精简策略
- 回环抓包自测练习
- 命令行手册速查索引
- 管道直通 Wireshark 分析
- 文本构造包文件（text2pcap）
- 重复报文的去重处理
- 跨文件时间偏移校正
- 工具链版本核对
协议分层统计（io,phs）
io,phs 给出协议栈各层包数与字节占比：快速确认抓包里"有什么协议、大头在哪"，为后续过滤策略打底。
易错点
- 协议分层是解析视角，加密流量只到 TLS 层，别过度解读
- 异常协议名（端口误标）先修正解码再看结论
数据来源与参考
- tshark 手册（io,phs）