网络抓包分析员

排查场景

当网络故障表现为连接失败、TTFB 偏高、TLS 握手失败、DNS 异常或视频流卡顿时，只看应用日志往往不够。tcpdump、Wireshark、Fiddler 或 Charles 抓包能保留包级证据，但人工逐流分析容易遗漏 SYN 重传、RST、零窗口、TCP 重传率、TLS Alert 等细节。这个技能面向 DevOps、网络运维和应用排障场景，目标是把抓包文件转成可复用的诊断结论。

工作方式

• 输入识别：支持 .pcap、.pcapng、.cap、.saz、.chls、.har 等常见格式，并区分全流量抓包与 HTTP 代理抓包的信息边界。
• 过滤与分析：围绕 ip.addr、tcp.stream、tcp.analysis.retransmission、dns、tls.handshake 等条件提取关键流，再按 L2 到 L7 逐层检查。
• 输出报告：通常包括抓包摘要、异常时间线、关键流指标、根因推断、修复建议与验证方式，并给出可直接使用的 Wireshark/tcpdump 过滤表达式。
• 场景联动：当问题涉及安防监控、综合布线、楼宇自控或弱电验收时，会结合《弱电智能化AI》知识库补充行业规范与案例，但不替代包级证据。

适用边界

该技能适合分析已有抓包，或帮助判断该抓什么、如何复现验证；但不适合确认服务端代码逻辑、数据库慢查询或应用内部状态。抓包可能包含 IP、Cookie、Token、账号密码等敏感信息，分享前应先脱敏。对性能问题，应优先要求 RTT、TTFB、重传率、吞吐量等量化指标，再判断问题属于网络、系统还是应用层。