过滤 QUIC 流量
QUIC 是基于 UDP 承载 HTTP/3 的传输协议，标准端口沿用 443。Wireshark 能把它识别为 quic 协议，并提供 quic.header_form、quic.version、quic.long.packet_type 等字段用于过滤。在设备上分不清业务走的是 TCP 还是 UDP 时，先用 udp.port == 443 粗筛，再叠加 quic 精确定位。
基本信息
| 适用平台 | Wireshark 3.x/4.x，需版本能识别目标 QUIC 版本 |
|---|---|
| 过滤语法 | quic / udp.port == 443 / quic.version == 0x00000001 |
| 标准端口 | UDP 443（HTTP/3 默认） |
| 加密特性 | 载荷与大部分头部内容都在加密记录中 |
典型使用场景
- 确认业务是否走 HTTP/3：看 443 端口上是否存在持续的 UDP 流量
- 验证禁 QUIC 策略：禁用后应看到客户端回落到 TCP 443
- 连接迁移排查：终端切换网络后源端口变化，连接仍在继续
- 传输方式对比：同一接口在 QUIC 与 TCP 上的耗时差异
- TLS 层排障：没有密钥日志时只能看连接级指标，先确认前提
常用示例
常用示例
udp.port == 443 && quic # UDP 443 上的 QUIC 流量
quic.version == 0x00000001 # QUIC v1
quic.long.packet_type == 0 # Initial 包，握手起点
udp.port == 443 && !quic # 端口对但认不出协议，多为新版本未支持协议特征对照
| 维度 | QUIC/HTTP3 | HTTP/1.1 与 2 | 影响 |
|---|---|---|---|
| 传输层 | UDP | TCP | 设备策略可能只针对其中一种 |
| 端口号 | 443 | 443 | 同号并存，需按协议区分 |
| 加密范围 | 含大部分头部 | 仅载荷 | 调试依赖密钥日志 |
| 连接标识 | 连接 ID | 四元组 | 迁移后端口变化仍属同一连接 |
网络设备对 UDP 443 的处理策略常与 TCP 443 不同。禁掉 QUIC 后浏览器会回落 TCP，所以「抓不到 QUIC」既可能是策略生效，也可能是应用根本没启用，两种协议要放在一起看。
QUIC 用连接 ID 而不是四元组标识连接，终端切换网络时源端口会变化，但按协议看仍是同一条连接。只按端口序列做统计，会把它误读成连接频繁重建。
要解出 QUIC 的加密内容，需要在客户端导出密钥日志文件，而且只对本机发起的连接有效。服务端侧一般拿不到客户端密钥，只能看连接级指标。