抓包要回答的问题
共享访问变慢的原因可能在任何一层：网络往返与丢包、服务端磁盘队列、协议协商降级、元数据操作过多。抓包的价值不是看到更多数据，而是把一次操作拆成几个阶段并给出各自耗时，把问题范围从「整个文件服务」缩小到具体环节。
基本信息
| 适用位置 | 客户端与服务端两侧的流量采集 |
|---|---|
| 常用端口 | 网络文件系统 2049、共享目录服务 445 |
| 采集工具 | 命令行抓包工具，Windows 可用内置抓包能力 |
| 分析方式 | 支持协议解析的抓包查看器与统计命令 |
| 关键指标 | 往返时延、重传比例、单次操作耗时、返回码 |
| 对照材料 | 服务端磁盘延迟、队列深度与资源占用 |
典型使用场景
- 打开目录很慢：确认是否由大量元数据请求堆积引起
- 大文件复制忽快忽慢：检查重传与窗口变化
- 单客户端异常而其他正常：对比两侧观测到的时延差异
- 迁移或切换后变慢：核对协商版本与挂载参数是否改变
- 责任定位：把抓包时间线与服务端指标对齐再下结论
采集与分析
采集与分析
tcpdump -i eth0 -nn -s0 -w /tmp/fs.pcap 'port 2049' # 采集网络文件系统流量
tcpdump -i eth0 -nn -s0 -w /tmp/smb.pcap 'port 445' # 采集共享目录流量
tshark -r /tmp/fs.pcap -q -z io,stat,1 # 按秒统计流量与包数
tshark -r /tmp/fs.pcap -Y 'tcp.analysis.retransmission' | wc -l # 统计重传次数
tshark -r /tmp/smb.pcap -Y 'smb2.cmd == 8' # 只看读请求
pktmon filter add -p 445 # Windows 侧添加端口过滤器
pktmon start --capture --pkt-size 0 -f C:\logs\smb.etl # 开始抓包并保留完整帧
pktmon etl2pcap C:\logs\smb.etl -o C:\logs\smb.pcap # 转换为通用抓包文件现象与指向
| 现象 | 观察到的证据 | 可能位置 |
|---|---|---|
| 整体缓慢 | 往返时延偏高且重传明显 | 网络链路或拥塞 |
| 大文件抖动 | 窗口频繁变化并伴随零星重传 | 链路质量或中间设备 |
| 目录遍历慢 | 小操作数量极多但单次都不慢 | 元数据开销或客户端行为 |
| 写入慢于读取 | 写请求耗时长而读请求正常 | 服务端刷盘与队列 |
| 切换后变慢 | 协商结果与预期版本不一致 | 协商过程或挂载参数 |
| 单客户端异常 | 该客户端重传与超时集中出现 | 客户端配置或其侧链路 |
时间线对齐是定位的关键：把抓包采集起点与两端系统时间对齐，再与服务端磁盘延迟、资源占用对比，才能区分网络慢与服务端慢。只在一端抓包通常得不到完整结论。
抓包文件会记录文件内容与协议元数据，可能包含敏感信息：把采集范围限制在必要主机与端口，文件按最小必要期限保存并及时清理，避免生产数据滞留在不受控的位置。
先量化再优化
调整任何参数之前，先用数据把体验问题量化：一次目录浏览由多少个请求构成、单次读写耗时如何分布、重传比例多少。有了基线，调优前后的对比才有意义；缺少基线的调参往往只是把问题挪到了别处。