如何用Wireshark测量跨设备经服务器收发消息的耗时？

一、过滤冗余TCP包，缩小抓包范围 #

• 基于IP和端口精准过滤：如果知道应用与服务器通信的目标IP或端口，直接用Wireshark显示过滤器 ip.addr == X.X.X.X && tcp.port == YYYY，只保留目标通信流的数据包，砍掉大部分无关流量
• 排除心跳/保活包：多数应用会定期发TCP保活包，这类包尺寸极小（通常小于60字节），可以追加过滤条件 tcp.len > 0 或者 frame.len > 60，直接排除空包或小尺寸冗余包
• 提前设置捕获过滤器：启动抓包前就指定捕获规则（比如 host X.X.X.X and port YYYY），从源头减少无关包的捕获，比事后过滤效率高得多

二、定位加密消息对应的数据包 #

• 用时间戳锚定：发送消息时，在本地设备用高精度时钟记录精准时间（Windows可以开秒表配合time /t，Linux用date +%s%N输出纳秒级时间），然后在Wireshark里通过「Edit -> Find Packet -> Time」筛选该时间点前后的数据包，快速缩小范围
• 分析TCP流负载变化：加密消息的负载长度远大于心跳包，右键点击任意一条目标TCP包，选「Follow -> TCP Stream」，查看整个流的负载大小，突然出现的大尺寸包基本就是你要找的消息包
• 尝试解密TLS流量（如果适用）：如果应用用TLS加密，可配置导出会话密钥——比如Windows/Linux设置SSLKEYLOGFILE环境变量，让应用导出TLS密钥日志，然后在Wireshark的「Preferences -> Protocols -> TLS」里指定密钥文件路径，解密后就能直接看到消息内容，精准定位目标包

三、准确计算传输耗时 #

• 先同步两台设备时钟：用NTP服务把两台设备的系统时钟同步到毫秒级误差，否则时间差会直接导致耗时计算完全失效
• 定位发送/接收时间点：
  • 发送端：找到消息对应的第一个大负载TCP包（或解密后的消息包），记录其Frame Time
  • 接收端：在对应TCP流中找到匹配的数据包，记录其Frame Time
  • 两个时间的差值就是实际传输耗时
• 用统计工具辅助验证：Follow TCP Stream后，通过「Statistics -> TCP Stream Graph -> Round Trip Time Graph」查看往返时间曲线，辅助确认耗时数据的合理性

内容的提问来源于stack exchange，提问作者Lia