协议分级统计
Protocol Hierarchy 按协议分层列出包数与字节数的占比，是打开一个大抓包文件后的第一个动作：先看整体构成，判断流量里是否混着大量广播、是否几乎全是某个协议、有没有大量未解析内容，再决定往哪个方向深挖。它回答的是「这份抓包里都有什么」，而不是「哪里出了问题」。
基本信息
| 入口 | Statistics → Protocol Hierarchy |
|---|---|
| 统计口径 | 按解析出的协议层级聚合包数与字节数 |
| 交互操作 | 右键某协议行可应用为过滤器进入明细 |
| 配合用法 | 先设显示过滤器缩小样本再看该子集的构成 |
| 局限 | 占比基于抓包样本，不代表现网全量比例 |
典型使用场景
- 大文件分析第一步：判断该往哪个协议方向深挖
- 发现大量无关广播或组播，说明抓包点范围过大
- 识别未解析协议占比，决定是否需要强制解码
- 核对某主机的流量构成，看是否存在异常协议混入
- 对比改造前后协议占比变化，验证业务是否切换
操作路径
操作路径
Statistics → Protocol Hierarchy # 打开统计窗口
查看各层协议包数与字节数百分比 # 先看整体构成
右键协议行 → Apply as Filter → Selected # 进入该协议明细
未解析占比高时用 Decode As 指定协议 # 补齐解析观察项与含义
| 观察项 | 可能含义 | 下一步 |
|---|---|---|
| 某协议占比异常高 | 主要业务或异常流量 | 结合端点统计确认来源 |
| 大量无关协议混入 | 抓包点范围过宽 | 收敛过滤条件重新抓 |
| 嵌套隧道协议展开 | 内层协议被包在外层里 | 注意不要重复计算字节 |
| 未解析协议占比高 | 端口非标或需指定解码 | 用 Decode As 强制解析 |
占比是抓包样本的比例，抓包点位置与过滤条件都会影响它，不能直接当作现网真实流量构成。
嵌套协议在内层也会重复计入字节，比较占比时先明确统计的是哪一层。