着色规则与数据包标记：让Wireshark替你“看见”问题

抓包最怕什么？不是包太多，而是包太多你根本不知道看哪里。几百上千个数据包哗哗往下滚，眼睛都快看花了，关键问题却藏得严严实实。这时候，着色规则就是你最好的帮手。

说白了，着色规则就是给数据包“涂颜色”。你告诉Wireshark：看到某种特征，就给我标成红色、蓝色或者绿色。这样一眼扫过去，异常包自己就跳出来了。我个人习惯，一打开抓包文件，第一件事就是检查着色规则有没有生效。

4.1 自定义着色规则：把“眼睛”装进Wireshark

Wireshark自带的着色方案其实够用，但真正干活的时候，你会发现远远不够。比如我想一眼看出所有TCP重传、所有HTTP 500响应、所有DNS查询超时——默认规则可不会帮你做到这么细。

那怎么办？自己动手写规则。

操作路径： 菜单栏 → 视图 → 着色规则（或者直接按 Ctrl+Shift+C）。

打开之后你会看到一个规则列表，上面是Wireshark预置的规则。别怕，我们可以加自己的。

新建一条规则的步骤：

1. 点击左下角的 + 号，新建一条规则。
2. 给规则起个名字，比如“TCP重传高亮”。
3. 在“过滤器”框里写显示过滤表达式，比如 tcp.analysis.retransmission。
4. 选一个前景色（文字颜色）和背景色（底色）。我个人建议：重传用红色背景+白色文字，一眼就能看到。
5. 点击“确定”，然后记得把规则拖到列表靠前的位置——Wireshark是从上往下匹配规则的，匹配到第一条就停，不再往下查。

4.2 快速标记与注释：给数据包“贴标签”

着色规则是自动的，但有些时候你需要手动标记。比如你在排查一个HTTP慢请求，发现第1024号包是关键——你总不能在脑子里记住“1024号包有问题”吧？

Wireshark提供了两种手动标记方式：数据包标记和数据包注释。

数据包标记：

• 选中一个包，按 Ctrl+M，或者右键 → 标记/取消标记。
• 标记后的包会变成深灰色背景，左边还会出现一个小箭头。
• 标记的包可以快速跳转：按 Shift+Ctrl+M 跳到下一个标记包。
• 标记在保存文件时会保留，下次打开还在。

数据包注释：

• 选中一个包，按 Ctrl+Alt+N，或者右键 → 数据包注释。
• 弹出一个文本框，你可以写任何内容。比如“这是客户端发送的第一个SYN包，注意时间戳”。
• 注释后的包在Packet List面板会多一个小黄条，鼠标悬停就能看到注释内容。

我曾经排查过一个线上故障，抓了3万多个包，光靠脑子根本记不住。我一边看一边给关键包加注释：“这里开始重传”、“这里收到RST”、“这里窗口为0”。最后写报告的时候，直接导出带注释的抓包文件，配合注释讲问题，领导和开发同事一看就懂。

4.3 会话追踪：把零散的包“串”成故事

单个数据包就像一张照片，而一个完整的会话就像一部电影。只看单包，你很难理解整个交互过程。Wireshark的“会话追踪”功能，就是帮你把零散的包串起来，还原出完整的对话。

怎么用？

1. 在Packet List里选中一个属于你想追踪的会话的包（比如一个HTTP请求包）。
2. 右键 → 追踪流 → 选择对应的协议（HTTP、TCP、UDP、TLS等）。
3. Wireshark会弹出一个新窗口，里面按时间顺序排列了客户端和服务端的所有通信内容。

三种追踪模式：

模式	显示内容	适用场景
TCP流	完整的TCP载荷，按C/S分色显示	HTTP、FTP、SMTP等基于TCP的应用
UDP流	完整的UDP载荷	DNS、DHCP、SNMP等基于UDP的应用
HTTP流	自动解析HTTP请求和响应，显示Header和Body	Web调试，查看请求参数和响应内容

我个人最常用的是HTTP流追踪。有一次客户反馈说某个接口返回数据不对，我抓包后直接追踪HTTP流，一眼就看到服务端返回的JSON里某个字段是null。开发还嘴硬说“代码没问题”，我把追踪流截图发过去，他立马闭嘴了。你想想看，这种证据摆在面前，谁都没法抵赖。

4.4 知识体系：着色、标记、追踪的协作关系

这三者不是孤立的，它们是一个完整的“问题定位流水线”。我画了一张图，帮你理清它们之间的关系。

你看，整个流程是递进的：

• 第一步： 着色规则帮你自动筛选出异常包，你不用一个个翻。
• 第二步： 手动标记和注释帮你锁定关键包，记录你的分析思路。
• 第三步： 会话追踪帮你深入分析，还原完整的交互过程。
• 最终： 你拿着这些证据，写报告、截图、发给同事，问题定位清清楚楚。

嗯，这里要注意：不要一上来就开会话追踪。先让着色规则帮你缩小范围，再手动标记关键包，最后才追踪流。否则你直接追踪一个几万包的TCP流，窗口里全是乱码，反而浪费时间。