状态：基石依赖 · 适合底层网络排障、TLS 握手协商与 TCP 重传诊断
速读#
在应用层网络调试中，如果接口返回 404 或 500，Reqable 或浏览器控制台能给出清晰的 HTTP 响应体。但如果连接在 TCP 握手阶段被 RST 中断、TLS Client Hello 握手无响应、或者由于 物理链路 MTU 溢出导致 IP 分片丢包，应用层代理只会冷冷地抛出一句 Connection Reset by Peer。
Wireshark 是网络世界的物理真理显微镜。它直接挂钩操作系统内核的网卡驱动（Npcap / libpcap），捕获并完整解剖网卡收发的每一个以太网数据包。
它真正解决的是哪一层问题#
1. 完整的协议栈解剖（Dissectors）#
Wireshark 拥有全球最完备的协议解析器库。从 L2 的 Ethernet 帧头、L3 的 IP 头部（TTL、DF 标志、分片偏移），到 L4 的 TCP 序列号（Seq / Ack）、滑动窗口与窗口缩放因子，再到 L7 的 DNS、TLS 握手套件，逐层展开结构化展示。
2. 状态诊断与专家信息（Expert Info）#
Wireshark 会自动分析并高亮标记异常流量：
[TCP Retransmission]：报文丢失触发超时重传；[TCP Dup ACK]：乱序或丢包触发对端快速重传；[TCP ZeroWindow]：接收方缓冲区耗尽，连接发生拥塞；[TCP RST]：连接被防火墙或服务进程直接暴力重置。
3. 高频实战过滤表达式（Display Filters）#
排查线上疑难杂症时，以下几条过滤规则最救命：
# 1. 过滤所有 TCP 异常重置连接（排除 SSH）tcp.flags.reset == 1 && !tcp.port == 22
# 2. 过滤 TLS 握手失败或 Client Hello 报文tls.handshake.type == 1
# 3. 统计某 IP 之间的 TCP 重传与丢包ip.addr == 192.168.1.100 && tcp.analysis.retransmission最短上手与排障路径#
- 启动 Wireshark，双击选择有流量波动的网卡（如
eth0或WLAN）。 - 在顶部过滤器输入目标域名或 IP：
ip.addr == x.x.x.x。 - 触发一次网络请求，在列表中找到红/黑色的异常行。
- 右键点击任意数据包，选择 「追踪流 -> TCP 流 (Follow TCP Stream)」，直接还原双向原始报文。
生产服务器排障技巧#
生产 Linux 服务器通常没有图形界面，标准的排障流是：在服务器用 tcpdump 静默抓包，下载回本地用 Wireshark 打开：
# 抓取 443 端口流量，限制单个文件 50MB，最多轮转 3 个文件tcpdump -i eth0 -nn -s 0 -w /tmp/capture.pcap "tcp port 443" -C 50 -W 3不适合什么情况#
- 仅仅为了调试 RESTful 接口传参与 Mock 数据（Reqable 或 Hoppscotch 效率更高）。
- 网页 UI 渲染与 DOM 事件追踪（应使用浏览器控制台）。
应用层代理告诉你「连接断了」，Wireshark 告诉你「在第几毫秒、由哪台设备的哪条 TCP RST 标志位断开的」。