协议开关是什么
Wireshark 里内置了数百个协议解析器（dissector），Analyze → Enabled Protocols… 决定哪些解析器在这一轮抓包中生效。停用某个协议后，承载它的报文不再被逐字段拆解，正文区退回原始字节视图，只剩下层封装。它有两个主要用途：处理层叠封装（VXLAN/GRE 里裹着的 TCP 与 HTTP）时确认内层解析器已开启；某个端口被反复错误解析时，先把可疑解析器关掉以排除干扰。解析器之间存在依赖关系，TLS 建立在 TCP 之上，停用底层会连带影响上层。所有勾选状态保存在当前 Profile 中，属于持久配置，不是一次性的临时调整。
基本信息
| 适用产品 | Wireshark 桌面版（Windows / macOS / Linux） |
|---|---|
| 入口 | Analyze → Enabled Protocols… |
| 生效范围 | 当前 Profile，确认后长期有效 |
| 对话框能力 | 按协议名搜索，并可 Enable All / Disable All / Invert 批量开关 |
| 相关入口 | Analyze → Decode As…，只改某个端口归属的协议 |
典型使用场景
- 层叠封装解析：VXLAN/GRE 隧道里的内层报文要逐层确认解析器开启，否则只能看到外层 UDP 与隧道头
- 排除误解析：非标准端口被猜成别的协议导致字段混乱时，先停用可疑解析器看现象是否消失
- 启用默认关闭的协议：厂商私有协议与实验性协议默认不启用，分析前需要手工勾选
- 缩小分析面：大文件只关心 HTTP/DNS 时临时停掉无关协议，减少界面噪声与误报
- 核实字段来源：过滤器里字段报红不可用时，回来检查承载它的协议是否已被停用
操作要点
操作要点
Analyze → Enabled Protocols… # 打开列表，搜索框直接输协议名
取消勾选 quic # 该流量退回 UDP 原始字节视图
Enable All / Disable All / Invert # 批量开关三个按钮
Analyze → Decode As… # 只把某个端口指给指定协议，不动全局开关
# 改动点 OK 后落盘到当前 Profile，换 Profile 需要重设现象与处置
| 现象 | 可能原因 | 处置 |
|---|---|---|
| 过滤器字段报红 | 承载协议被停用 | 在 Enabled Protocols 里搜回该协议并勾选 |
| 内层报文不解析 | 隧道或内层解析器关闭 | 逐层确认隧道协议、内层类型与上层协议均开启 |
| 同类流量解析时好时坏 | 中途切换了 Profile | 核对当前 Profile 名并统一配置集 |
| 解析出明显错误的协议 | 端口猜解存在歧义 | 改用 Decode As 指定该端口的协议归属 |
解析器互相依赖是高频坑：停用 TCP 之后所有基于 TCP 的应用层协议会一起失去解析，HTTP、TLS、MySQL 同时消失，排查前先确认自己改的是最内层还是最外层。
需要长期固定配置时，建议单独建一个 Profile 专供该类分析使用，避免把临时改动留在默认配置集里；交付报告时写明 Profile 名称，别人才复现得出同样的视图。