专家信息在做什么
专家信息把整份抓包文件里的异常标注汇总成一张清单，按严重程度分为错误、警告与备注三级，覆盖重传、乱序、校验和错误、响应码错误、协议解析失败等。它的定位是快速体检：拿到一份陌生的抓包文件，先看这张清单就知道哪里值得深入，而不必从头逐包阅读。清单里的每一条都能双击跳转到对应报文，也可以直接把某一类作为过滤条件，是进入细节分析的便捷入口。
基本信息
| 入口 | 分析菜单里的专家信息，或左下角的状态提示区 |
|---|---|
| 分级 | 错误、警告、备注三级，按严重度从高到低 |
| 常见类别 | 重传、乱序、零窗口、校验和错误、响应码错误、协议解析失败 |
| 交互 | 展开某类可双击跳转到报文，也可把该类作为过滤条件 |
| 定位 | 线索入口而非结论，需回到报文层核对 |
典型使用场景
- 接手陌生抓包文件：先看清单确定异常集中在哪一类
- 快速判断链路质量：看重传与乱序的规模
- 排查应用层错误：看响应码类提示的分布
- 发现解析异常：协议解析失败往往指向非标准实现或抓包点问题
- 给报告提供依据：把清单作为异常统计的起点再逐条核实
操作路径
操作路径
1) 打开专家信息对话框
2) 按严重程度排序，先看错误与警告两级
3) 展开某一类，双击条目跳转到对应报文
4) 需要批量核对时把该类作为过滤条件应用
5) 结合会话统计与流过滤，逐条确认是否为真实问题常见条目与含义
| 条目类别 | 含义 | 是否值得追查 |
|---|---|---|
| 重传 | 同一序列号范围重复出现 | 少量属于常态，比例高才需要处理 |
| 乱序 | 到达顺序与发送顺序不同 | 未必丢包，多路径或抓包点重复也会出现 |
| 零窗口 | 接收方窗口为零 | 指向接收方处理能力不足，值得追查 |
| 校验和错误 | 校验和不匹配 | 在虚拟化与卸载场景常见，多为环境噪音 |
| 响应码错误 | 应用层返回 4xx 或 5xx | 需要结合请求上下文判断责任方 |
| 协议解析失败 | 解码器无法完整解析报文 | 可能是截断导致，先核对快照长度 |
低严重度的条目数量往往很大，其中相当一部分是环境造成的噪音，例如虚拟网卡上的校验和卸载。先聚焦错误与警告两级，能显著减少无效排查。
专家信息是启发式结论，不能直接当作定性依据。把它当索引用，最终判断必须回到序列号、确认号与协议字段上核对。
命令行近似做法
命令行近似做法
tshark -r a.pcap -q -z expert | head -30 # 文本化的专家信息
tshark -r a.pcap -Y 'tcp.analysis.flags' | wc -l # 异常报文总数
capinfos a.pcap | head -15 # 先核对文件规模与抓包范围判读要点
- 先看异常类型的分布，再看数量级，集中在一类时排查方向很明确
- 异常数量与文件时长相关，比较两个文件时要先归一化
- 解析失败类提示常由截断引起，先确认快照长度再怀疑协议实现
- 把清单与业务日志时间对齐，才能判断异常是否与故障时段重合