3.4 三块面板与着色规则：让异常自己发光

3.4 三块面板与着色规则：让异常自己发光

流水线最后一站是呈现段。本节讲三块面板各自的信息来源与配置方法、时间列的四种基准、列自定义的思路，以及着色规则引擎——它的本质是"显示过滤器加颜色皮肤"。这些是日常使用频率最高的界面技能，也是 8.3 节故障模式库的交互基础：模式库里每条判定，最终都要靠面板上的颜色和时间暴露出来。

三块面板：同一棵字段树的三个取景框

包列表面板每行一帧，列是字段树的取数口。默认列（编号、时间、源、目的、协议、长度、信息）只是出厂设置——列可以被替换、被增加，把任何字段变成一列。

协议详情面板就是字段树本身，3.3 节已经解剖过它的来历。它的杀手级交互是"树与字节联动"：选中树上的任一字段，底部字节面板会高亮对应的原始字节，反之亦然。逐层解剖（第 4 章的主戏）全靠这个联动——讲 IP 头的 TTL 时，字节面板里的 40 会亮起来，字段与字节的对位关系一眼建立。

字节面板把帧按十六进制与 ASCII 双列展示。它的价值在于"解析器也有没解剖的字节"：私有协议、未知的 TLV 结构、载荷里的可读文本，解析器保持沉默时，字节面板是唯一目视检验手段。

时间列：四种基准，四种案情

时间信息一列，基准可切换，每种基准服务一种案情：

排障案的经验值：先用"相对前一帧"扫全屏找异常间隔，切到"捕获起点"核对事件顺序，最后用"绝对时间"和系统日志对表。三种基准来回切换是勘验常态，不是初学者毛病。

列自定义：把案情关键词钉在墙上

列就是把字段钉在列表上。排障 TCP 时我会加三列：流编号（tcp.stream，一眼分清这是几条案子）、相对序号差（用于看方向性）、响应时间类字段。加列的操作：详情树里右键字段，"应用为列"。命令行用户等价物就是 -T fields -e 字段名——两边的取数口相同，3.1 节讲过。

着色规则：把判断写成颜色

着色规则的机制一句话讲完：每条规则是一个显示过滤器加一个颜色，列表自上而下求值，首条命中即染色。出厂规则里最有用的几条：TCP 分析类标记（重传、乱序、零窗口）用红系；RST 用暗红；ICMP 用蓝；校验错误用纯黑——黑帧几乎总是网卡校验卸载造成的假象，不是真错误。

自己加规则才是勘验功力的体现。三个我常用的自定规则：

# 规则一：DNS 解析失败（响应码非零）——橙色
dns.flags.rcode != 0

# 规则二：TLS 握手失败警报——紫红
tls.record.content_type == 21

# 规则三：服务端响应超过 1 秒的 HTTP——深黄
http.response and tcp.analysis.ack_rtt > 1
​

加规则的思路是"把案情的判定条件写成过滤器，让颜色替你盯屏"。注意着色规则与显示过滤器语法完全一致（3.1 节的结论：同一引擎），所以第 5 章学到的每个表达式都能在这里复用。

⚠️ 着色规则会随配置文件（Profile）走。换机器、换账号规则就没了——把常用规则连同自定义列存进 Profile 导出，是勘验工具箱的迁移标准动作。

呈现段的性能开关

呈现段有集体中枪的三个慢源：名称解析（每个新地址触发 DNS 反查）、列过多（每帧渲染成本累积）、着色规则里的正则（每帧每条规则求值）。对应开关：勘验时关名称解析（或改用异步解析）、列控制在六七列内、正则类着色规则只在定点排查时启用。8.2 节会把这三条纳入完整的调优清单。

实测体感可以自己复现：找一份十万帧的文件，分别在"默认全开"与"三关"两种状态下滚动跳转，差异立见。许多"Wireshark 卡得没法用"的抱怨，其实只是呈现段配置问题——先调这三关，再谈换机器。

# 名称解析的三档（GUI 视图菜单，命令行对应参数）
解析名称     适用场景
关           长跑分析、远程勘验、性能优先（-n）
仅地址解析   需要看主机名的排障（默认折中）
全开         含端口名与协议名的教学演示（最慢，几乎不用）
​

端口名解析值得单独点名：它把 443 显示成"https"、53 显示成"domain"——教学时直观，排障时反而碍事（你心里本来就知道端口号）。老勘验员的呈现段配置几乎都是"关解析加精简列加三两条着色规则"，这个形态是性能与信息密度的平衡点。

配置实录：把面板调教成排障专用

走一遍完整的面板定制会话，目标：给 TCP 排障案配一套趁手的视图。

**第一步，加流编号列。**任选一帧 TCP，详情树里展开传输层，找到 Stream Index 字段，右键选"应用为列"。列表多出一列数字——从此"这是几号案子"一目了然，Follow Stream 前先看它。

**第二步，时间列换基准。**时间列右键选"相对前帧"。慢点排查的核心动作就是扫这一列找异常大的值：

# 换基准前后，同一段流量的观感对比（绝对时间 → 相对前帧）
14:22:01.337   →   0.000      握手开始
14:22:01.364   →   0.027      27 毫秒，正常
14:22:03.121   →   1.757      1.7 秒！卡点自己跳出来
14:22:03.128   →   0.007      恢复正常节奏
​

绝对时间里那个 1.7 秒的间隔混在一排时间里毫不起眼；相对前帧基准下它自己举手。

**第三步，加两条着色规则。**着色规则面板新建：意图写清楚（规则名会成为以后看颜色时的索引），过滤器填判定条件：

规则名：DNS解析失败        过滤器：dns.flags.rcode != 0        前景深橙
规则名：响应迟缓           过滤器：http.response && frame.time_delta > 1   背景浅黄
​

**第四步，存进配置档。**右下角配置档切换器新建"排障-性能"档，以上全部配置落档（7.3 节的迁移机制）。下次接同类案子，切档即用。

四步下来，同一个文件在眼前呈现的信息密度完全不同——面板不是显示器，是你给案情设计的取景器。

常见疑问

**问：字节面板里中文显示乱码怎么办？**字节面板的 ASCII 列按单字节解释，UTF-8 中文天然显示为多字节碎片——这不是乱码是编码形态。想读中文载荷用 Follow Stream（选 UTF-8 呈现）或导出载荷后用编辑器打开。

**问：列加多了会拖慢滚动吗？**会，列渲染是逐帧成本（3.4 节三慢源之一）。经验值是七列以内；超过就该反思是不是在用列弥补筛法不足——很多"想钉成列"的字段，其实该进过滤器。

**问：着色规则和显示过滤器能互相转换吗？**能——它们语法同源（本章开头讲的"过滤器加颜色皮肤"）。把着色规则的条件复制进过滤器栏，就变成一次性筛查；把常用过滤器配上颜色，就变成常驻监视。勘验老手的工作流经常是"先在过滤器栏调通条件，再配成着色规则固化"，一个方向打磨，两边受益。

结案要点

• 三块面板同源：都是字段树的取景框，列表取列、详情取树、字节取原文。
• 树与字节双向联动是逐层解剖的核心交互，第 4 章全程使用。
• 时间基准按案切换：找卡顿用相对前帧，对日志用绝对时间。
• 着色规则等于过滤器加颜色：自定规则让案情判定条件常驻屏幕。
• 呈现段三慢源：名称解析、列过多、正则规则，勘验时先关第一个。

流水线三段全部走完。下一章正式开刀——从以太网帧头开始，逐层解剖真实报文。