两遍解析换准确度
单遍解析不回头，遇到需要后续信息才能判定的分析就不够准。两遍模式先整体扫描一遍再解析，让依赖上下文的判断（例如重传识别与流跟踪）得到正确结果。代价是内存占用与耗时上升，所以它更适合离线分析而不是实时观察。
基本信息
| 适用平台 | tshark |
|---|---|
| 语法 | tshark -2 -r 文件 后续参数 |
| 主要作用 | 让重传等上下文相关标注更完整 |
| 代价 | 内存占用更高、运行时间更长 |
典型使用场景
- 需要准确的重传与乱序判定
- 流跟踪与依赖上下文的协议解析
- 生成正式报告前的复核
- 与单遍结果对比，确认差异是否影响结论
- 大文件分段分析时保证每段内部标注完整
两遍模式用法
两遍模式用法
tshark -2 -r a.pcap -Y "tcp.analysis.retransmission" -T fields -e frame.number
# 两遍模式下重传标注更完整
tshark -2 -r a.pcap -q -z conv,tcp | head -20
# 会话统计更准确，代价是耗时与内存上升
tshark -2 -r a.pcap -q -z io,stat,1 | head -20
# 时序统计同样受益于完整的上下文信息模式对比
| 模式 | 特点 | 适用场景 |
|---|---|---|
| 单遍解析 | 速度快，部分标注可能不全 | 实时流、快速初筛 |
| 两遍解析 | 标注更完整，资源消耗高 | 离线分析、正式报告 |
在线的实时流量用单遍，离线文件用两遍换准确度。这个选择不必纠结，判据就一条：分析是否需要回头的上下文信息。
两遍模式内存占用更高，超大文件先分段再跑，否则可能中途失败或把机器内存吃满。单遍下的重传标注可能不全，写结论之前用两遍复核一遍，能避免不少翻车。
使用建议
- 先单遍快速定位可疑时段与流
- 再对截取出来的片段用两遍解析复核
- 超大文件先切分，避免单次运行资源不足
- 报告里注明使用的解析模式
- 两种模式结果差异明显时，以两遍结果为准
常见疑问
- 为什么单遍也能看到重传：部分标注靠边解析边判断，遇到依赖后续帧的场景就会漏掉
- 两遍会改变过滤结果吗：表达式本身不变，变的是上下文相关字段的取值
- 批量文件都要开两遍吗：先单遍初筛出可疑文件，再对少数文件开两遍复核
- 内存不够怎么办：按时间或包数切分后逐片解析，单片风险小得多
- 结论差异大时以哪个为准：以两遍结果为准，并在报告里注明解析模式