会话着色是什么
右键 → Colorize Conversation → TCP/UDP 会给当前这条会话的所有报文套上一组临时颜色。它和 View → Coloring Rules 里的固定规则是两套机制：临时着色优先级更高，只在当前文件的活动期内存在，不做持久保存。用途是在一堆形态相近的流量里把几条关注流挑出来，比如同时观察三条 TCP 会话的交互过程，用不同颜色区分它们的报文，就不必反复输入过滤条件。颜色只是视觉标记，不改变解析结果、统计口径与导出内容，因此不能作为判断某条流已被筛选的依据。
基本信息
| 适用产品 | Wireshark 桌面版（Windows / macOS / Linux） |
|---|---|
| 入口 | 报文右键 → Colorize Conversation → TCP 或 UDP |
| 可选颜色 | 十种预设色，多条流依次分配 |
| 取消方式 | 同菜单下的 Colorize Reset |
| 优先级 | 高于 Coloring Rules 中的固定规则 |
典型使用场景
- 多流并行对比：同一屏里同时跟客户端到网关、网关到后端两条或更多会话
- 汇报讲解：给异常会话上醒目颜色，投影时听众能一直跟住目标
- 长会话跟踪：会话跨越上千帧，滚动时靠颜色快速找到两端报文
- 临时突出：不想污染团队共用配色方案时用它做一次性标记
- 安全排查：把疑似扫描来源的会话统一上色，观察其活动范围
操作要点
操作要点
# 选中任一会话报文后右键
Colorize Conversation → TCP → 选颜色 # 十种预设，按展示顺序分配
View → Coloring Rules… # 查看并编辑固定规则及其匹配顺序
Colorize Reset # 同菜单下取消全部临时着色两套着色机制对比
| 机制 | 生效范围 | 持久性 |
|---|---|---|
| Colorize Conversation | 当前文件内选中的这一条会话 | 关闭文件即失效 |
| Coloring Rules | 按显示过滤器匹配的所有报文 | 写入 Profile 后长期有效 |
| 优先级关系 | 临时颜色覆盖规则颜色 | 同一报文的最终显示颜色以临时色为准 |
临时着色不会写进抓包文件，导出 pcapng 再打开颜色就没了；需要别人看到同样的视觉效果时，改用固定规则或直接给截图并标注五元组。
多人协作排障时“紫色那条”这种描述无法跨环境复现，文字沟通仍然要落到五元组或 tcp.stream 编号上，颜色只做辅助。