抓包工具准备：Wireshark基础使用、tcpdump命令行抓包、TLS解密配置
做TLS性能调优，说白了就是跟加密流量打交道。你连包都抓不到、看不懂，那后面的丢包定位根本无从谈起。这一章我把自己的工具链和配置习惯摊开来讲，都是实战里踩过坑换来的经验。
Wireshark基础使用：别只会点开始和停止
很多人用Wireshark就是点一下网卡、点开始、抓一堆包、再点停止。然后对着满屏的乱码发呆。我刚开始也这样，后来发现真正好用的是那几个过滤器和统计功能。
抓包前的网卡选择
打开Wireshark，第一个界面就是网卡列表。记住一个原则：抓哪个接口的流量，就选哪个网卡。如果你要抓本机到外网的TLS流量，选物理网卡；如果抓容器或虚拟机之间的流量，选对应的虚拟网卡。
ping 目标IP，确认流量确实走的是你选的那块网卡。有一次我抓了半天没抓到TLS握手包，最后发现流量走了VPN虚拟网卡，而我一直在抓物理网卡。
核心过滤器：你只需要记住这几个
Wireshark的过滤器分两种：抓包过滤器（Capture Filter）和显示过滤器（Display Filter）。前者在抓包时就丢弃不相关的包，后者只影响显示，包还在内存里。
| 类型 | 表达式 | 作用 |
|---|---|---|
| 抓包过滤器 | host 10.0.0.1 |
只抓与10.0.0.1通信的包 |
| 抓包过滤器 | tcp port 443 |
只抓443端口的TCP流量 |
| 显示过滤器 | tls.handshake.type == 1 |
只显示TLS Client Hello报文 |
| 显示过滤器 | tcp.analysis.lost_segment |
显示TCP丢包重传的报文 |
| 显示过滤器 | ssl.record.content_type == 23 |
显示TLS应用数据记录 |
避坑指南：我曾经在排查TLS握手延迟时，用 tls.handshake 过滤，结果发现握手包数量不对。后来才意识到，TLS 1.3的握手只有2个RTT，而TLS 1.2有4个。过滤条件没写对版本，漏掉了关键包。
统计功能：快速定位问题区间
Wireshark的 Statistics → TCP Stream Graph 是我最常用的功能。Time-Sequence Graph能直观看到丢包和重传的位置。如果图上出现大段的水平线，说明那段时间没有数据流动——要么是网络断了，要么是TLS层在等待握手完成。
tcpdump命令行抓包：服务器端必备技能
生产环境哪有图形界面给你用？我99%的线上抓包都是用tcpdump完成的。它轻量、灵活，而且可以配合管道直接分析。
最常用的几个参数
-i eth0：指定网卡，不指定的话默认抓第一个非回环网卡-s 0：抓取完整报文，不截断。默认只抓前96字节，TLS握手头都抓不全-w file.pcap：写入文件，方便后续用Wireshark分析-nn：不解析主机名和端口名，加快抓包速度
实战命令示例
# 抓取与10.0.0.1的443端口通信，保存到文件
tcpdump -i eth0 -s 0 -nn host 10.0.0.1 and tcp port 443 -w tls_traffic.pcap
# 实时查看TLS握手包，不保存文件
tcpdump -i eth0 -s 0 -nn 'tcp port 443 and (tcp[13] & 2 != 0 or tcp[13] & 16 != 0)'sudo。我曾经在容器里忘了加，抓了半天全是空文件。
配合管道实时分析
有时候你不想等抓完再分析，可以边抓边看。比如统计TLS握手包的数量：
tcpdump -i eth0 -s 0 -nn 'tcp port 443' | grep -c 'Client Hello'这个命令会实时输出Client Hello报文的数量。如果数字增长很慢，说明握手阶段可能有问题。
TLS解密配置：让加密流量现原形
抓到的TLS包全是加密的，你只能看到握手阶段的一些元数据，应用数据全是乱码。要看到明文，必须配置解密。我常用的方法有两种。
方法一：使用SSLKEYLOGFILE环境变量
这是最推荐的方式，适用于你能控制客户端程序的情况。浏览器、curl、OpenSSL都支持这个环境变量。
- 在启动客户端前设置环境变量：
export SSLKEYLOGFILE=/tmp/sslkey.log - 启动客户端，正常发起TLS连接
- 在Wireshark中：编辑 → 首选项 → Protocols → TLS → (Pre)-Master-Secret log filename → 选择刚才的日志文件
SSLKEYLOGFILE 启动浏览器，然后访问目标HTTPS站点，Wireshark里就能直接看到HTTP请求和响应的明文。注意，这个日志文件会不断增长，记得定期清理。
方法二：使用RSA私钥解密（仅限TLS 1.2及以下）
如果你有服务器的RSA私钥，可以在Wireshark里配置私钥文件。但这个方法有局限：
- 只适用于TLS 1.2及以下版本。TLS 1.3使用Diffie-Hellman密钥交换，私钥无法解密
- 必须使用RSA密钥交换的密码套件。如果用了ECDHE，私钥也没用
- 私钥泄露风险很大，生产环境慎用
配置路径：编辑 → 首选项 → Protocols → TLS → RSA keys list → 添加私钥文件
方法三：中间人代理（mitmproxy）
当你既没有客户端环境变量权限，也没有服务器私钥时，可以用中间人代理。mitmproxy会生成自己的CA证书，客户端信任这个CA后，代理就能解密所有TLS流量。
# 启动mitmproxy，监听8080端口
mitmproxy --listen-port 8080
# 客户端设置代理
export http_proxy=http://127.0.0.1:8080
export https_proxy=http://127.0.0.1:8080本章知识体系：抓包与解密的核心流程
下面这张图把本章的核心逻辑串起来了。从选择抓包工具开始，到最终看到TLS明文数据，每一步都有对应的工具和方法。