当画面卡顿、花屏或偶发掉线，而交换机端口统计又正常时，抓包是越过中间层直接看真相的路径。抓包分两步走：先把目标流量复制出来，再用协议分析工具判读异常。本文按"镜像配置 → 抓包参数 → RTSP 交互 → 异常判读 → 卡顿定位"的顺序展开，可直接照做。
什么时候值得上抓包？
日志能告诉你有事件，端口统计能告诉你有计数，但只有报文能还原"数据到底怎么走的"。典型适用场景：视频流协议重传多、NVR 偶发断流、广播突增、ARP 欺骗嫌疑、多厂商摄像机互联异常。设备少、问题明显的场景先用网络测试和端口统计收窄，收窄不到协议层的才动镜像。
端口镜像怎么配：源、目的、方向三件事
端口镜像把指定源端口的报文复制一份到观察端口，业务流量仍走原路径。观察端口必须是空闲的物理口，不能承担业务，也不能配 IP 或加入业务 VLAN；方向选 both 抓双向，单方向会漏掉一半信息；视频流吞吐高，观察口建议用千兆起步，万兆更稳。
| 配置要素 | 要求 | 说明 |
|---|---|---|
| 观察端口 | 空闲物理口、无业务 | 镜像流量出口，带宽要够 |
| 源端口 | 单口或端口组 | 一个镜像组源端口数量有限，按设备型号确认 |
| 方向 | inbound/outbound/both | 排障选 both，保证取证完整 |
| 生效验证 | display 命令核对 | 配置后必须保存，防重启失效 |
以华为 VRP 为例：定义观察口 observe-port 1 interface GigabitEthernet0/0/35，进源口视图执行 port-mirroring to observe-port 1 both，再用 display 命令核对并 save 保存。H3C 用 mirroring-group 1 local 加 mirroring-port/monitor-port 语法，思路一致。
抓包参数：有线、快照、缓冲
抓包机用有线网卡，无线抓包本身会丢包，判读全失真。快照长度设 1522 字节以上，保证 RTP 载荷完整；缓冲区建议 256MB 级，应对高码率长时间捕获；关掉实时更新减少资源占用。Windows 需装 Npcap 驱动，新版 Wireshark 自带安装选项。
RTSP 四阶段与关键过滤表达式
RTSP 控制信令走 TCP 554 端口，媒体流 RTP 走动态偶数 UDP 端口，RTCP 紧随其后（RTP+1）。一次会话依次经过 OPTIONS（能力协商）、DESCRIBE（获取 SDP 描述）、SETUP（建立传输通道）、PLAY（开始推流）四个阶段，TEARDOWN 结束会话。
常用显示过滤：rtsp || rtp || rtcp 看全部协议族；tcp.port == 554 || udp.portrange 5000-6000 覆盖信令与常见动态端口；ip.src == 摄像机IP && (rtsp || rtp) 锁单台设备；rtsp.method == "SETUP" 筛特定阶段。抓到包先看四阶段是否走完，缺 PLAY 说明推流没建立，问题在会话层而非媒体层。
常见异常怎么判读？
| 抓包现象 | 指向 | 下一步 |
|---|---|---|
| 大量 TCP Retransmission | 网络丢包或延迟过高 | 查链路质量、端口协商速率 |
| Malformed Packet 警告 | 分片异常或加密流量 | 核对 MTU、确认是否加密 |
| 只见 RTSP 不见 RTP | PLAY 未成功或端口被过滤 | 查会话建立与防火墙策略 |
| 连续 Zero Window | 接收端消费慢，非网络问题 | 查 NVR 解码/存储负载 |
| 吞吐波动大且无规律 | 拥塞导致的丢包 | 查上行带宽与广播流量 |
| 吞吐平稳但受限 | 端口协商或策略限速 | 查双工协商、限速策略 |
抓包不是碰运气，先有假设再抓效率才高。卡顿时段固定就抓那个时段的流；怀疑某台设备就锁它的 IP 过滤；怀疑广播风暴就先看包量统计。抓到包先看整体吞吐趋势，再看协议分布，最后逐条定位，多数问题在头十分钟就能定性。抓包数据里含设备 IP、认证凭据等敏感信息，现场排障完成后及时清理 pcap 文件，涉及客户环境的抓包建议在受控终端完成并脱敏存储。
参考吞吐口径：高清流约需 1–5 Mbps，4K 需 20 Mbps 以上；持续低于码率必然卡顿。RTP 序号断层结合 RTCP 丢包统计，可以算出具体丢包率，和摄像机码率对照就知道卡顿阈值在哪。
卡顿定位的完整路径
- 确认卡顿时间点，回放录像与实时画面的差异；
- 端口镜像 NVR 上联口与分析机，抓 both 方向 10–30 分钟；
- 先看整体吞吐是否低于码率需求，再查 RTP 丢包与重传；
- 网络域指标正常，则转向摄像机供电、解码负载、录像机存储性能；
- 修复后按同样参数复测一轮，确认指标回到基线。
- TL;DR：抓包是越过日志直看报文真相的手段；端口镜像三要素是空闲观察口、both 方向、保存配置；抓包机用有线、快照 1522 字节以上、缓冲区 256MB 级；RTSP 四阶段缺 PLAY 说明会话层有问题、不是媒体层；重传多是网络问题，Zero Window 是接收端消费慢，先分清再动手；卡顿修复后必须同参数复测确认回基线。
参考资料
- video-lag-troubleshooting
- onvif-debug
- video-network-design
- video-network-link-quality-test