帧号是什么
frame.number 是 Wireshark 打开文件时为每条报文分配的序号，从 1 开始按文件中的先后顺序递增。它相当于文件内的坐标：可以精确跳到某一帧、按区间过滤出一段报文，也能在报告与工单里精确引用「第 N 号帧」。需要强调的是，帧号由打开文件时生成，与抓包工具、网卡或网络时间都无关，同一个文件每次打开都一致，换个文件则完全不同。
基本信息
| 适用平台 | Wireshark / tshark 全平台，显示过滤器中可用 |
|---|---|
| 字段 | frame.number |
| 相关字段 | frame.time_relative、frame.time_delta、frame.len、frame.protocols |
| 稳定性 | 同一文件内稳定，跨文件不可比 |
典型使用场景
- 按报告里记录的帧号快速跳到问题报文，复核他人结论
- 只分析某一段区间，先按帧号范围过滤再做统计
- 把重传等异常帧与具体帧号绑定，形成可复核的证据链
- 对照两端抓包时用相对时间加帧号锚定同一报文
- 写工单时提供精确坐标，避免「某一条报文」的模糊描述
- 在长文件中按区间分段处理，降低单次分析负载
常用示例
常用示例
frame.number == 100 # 精确跳到第 100 帧
frame.number > 500 && frame.number < 600 # 只看区间内的报文
frame.number && tcp.analysis.retransmission # 定位所有重传帧的编号
frame.number >= 1000 && tcp.port == 443 # 区间与条件叠加
# 引用帧号时同时给出文件名，跨文件引用需要五元组与时间戳帧字段逐项读法
| 字段 | 含义 | 用途 |
|---|---|---|
| frame.number | 文件内序号 | 定位与引用具体报文 |
| frame.time_relative | 相对首帧的时间 | 与帧号配合描述时间线 |
| frame.time_delta | 与上一帧的间隔 | 定位长时间停顿 |
| frame.len | 帧总长度 | 判断大包小包与封装开销 |
| frame.protocols | 该帧涉及的协议栈 | 确认解析层次是否与预期一致 |
帧号随文件而变，把它写进工单时务必附上文件名与采集时间，只给一个数字对他人没有意义。
深入分析某段时间线时，可配合设置时间参考点，让相对时间从关注的报文开始计，读时序数字更直观。