技能介绍

解决哪类问题

游戏出现卡顿、掉线或高延迟时，网络故障可能发生在客户端、家庭路由器、运营商、云网络或游戏服务器任一环节。仅凭“延迟高”无法定位责任方，本技能用于把模糊的卡顿反馈转化为可证实的证据链：确认故障的最小范围、区分“应用慢”与“真实传输丢包”，并识别加速器隧道是否影响了业务链路。

核心能力与关键步骤

技能以 .pcap/.pcapng 抓包文件为主要输入，依赖 Wireshark/tshark 做协议与流分析，报告导出依赖 Python 3.10+。标准流程包括：

确认抓包环境：核实抓包接口是物理网卡、虚拟网卡还是路由器镜像口，并记录客户端 IP、时区与卡顿时间。
业务识别：不只依赖端口名，而是通过 DNS 查询、TLS SNI、HTTP Host、证书和流量方向识别真实业务，分别分析游戏实时流、加速器隧道、登录/反作弊、补丁 CDN 和无关后台流量。
流特征统计：针对关键 TCP 流统计异常方向、时间聚集、RTT、窗口状态和连接生命周期，判断是否存在直连或封装在加速器隧道内。
相关性验证：异常事件必须与用户实际卡顿时间重合；启动阶段的 CDN 下载异常不能解释对战卡顿。
结构化输出：按结论、关键证据、未确定部分、下一步排序输出。生成 PDF 报告时需先整理结构化 JSON，渲染后检查页数、可检索文本、空白页和视觉遮挡，必要时重新生成。

适用边界与注意点

Wireshark 的 Dup ACK 由接收方发送，仅表示接收方向发现序号缺口，不能证明发送服务器故障；Lost Segment 是抓包点推断值，需与重传、乱序共同判断。Fast Retransmission 与 Retransmission 可能标记同一帧，分类数不可直接相加。Zero Window 指向接收端缓冲或应用读取问题，没有它不能排除网络丢包。TCP 端口连通率不等于已建立业务流的真实丢包率，UDP 隧道也不能用普通 tcping 证明质量。

客户端单点抓包只能把故障定位在“抓包点之后、对端之前”。要区分家庭路由器、运营商、云网络和服务器出口，必须做双点抓包或对照测试。Wireshark 按知名端口显示的协议名可能只是启发式识别，需结合域名与载荷复核。IP 地理库只能给出 ASN、注册网段和城市级近似位置，不可当作精确机房位置。详细判断矩阵和 tshark 过滤器配方见 references 目录。