启用SafeW代理后，建议同时在本机和代理端并行记录抓包、路由表、DNS解析、端口监听和应用日志；以时间轴为基准保存各类数据，并对比三次握手、TLS握手、重传、丢包与延时等关键指标，最终整理成差异报告以便定位问题并提交给支持团队。
SafeW开启代理后如何快速定位连接异常
在本机和代理端同时启动抓包并保存文件
- 抓包范围：在客户端与SafeW代理所在主机同时启动tcpdump或Wireshark抓包，捕获进出流量，包含三次握手、TLS握手和应用数据，保存带时间戳的pcap文件便于后续逐包对比分析。
- 时间同步：确保两端系统时间同步（例如启用NTP），记录抓包开始和结束时间点，便于在分析时对齐时间轴，找出请求在代理中停留或被修改的具体时段。
- 过滤策略：使用有效过滤表达式限定IP、端口或协议，避免抓包文件过大，同时保留关键握手与错误包，便于快速定位重传、RST或ICMP错误等异常信息。
采集并对比路由表和网络接口配置信息
- 路由与接口记录：在启用SafeW前后分别导出本机和代理的路由表（route/ip route show）与接口配置（ifconfig/ip addr），保存为文本以便对比路由改变或缺失的路由条目。
- 查看策略路由：检查是否存在策略路由或防火墙规则在代理启用后生效，导出iptables/nftables规则与策略路由表，以发现可能拦截或重写流量的规则。
- 接口统计：采集网卡统计（ethtool/ifconfig统计字段）与错误计数，比较启用代理前后错误包、丢包或超时增加的趋势，以判断是否为链路层或驱动问题。
SafeW：如何采集关键网络抓包以便前后对比
使用tcpdump保存标准化的抓包文件
- 抓包命令规范：在客户端与代理上使用相同的tcpdump参数（例如-s 0 -w /path/时间戳.pcap host A and port B），保证抓取内容一致并保存为可互相比对的pcap文件。
- 分段与压缩：对于长时间抓包建议使用文件分割（-C或者-W）并压缩归档，记录每段的起止时间和对应上下文，便于按时间段逐步排查问题。
- 敏感信息处理：在必要时对抓包文件进行脱敏或只保留关键元数据，避免在共享给第三方或团队时泄露敏感信息，同时保留重现问题的必要字段。
使用Wireshark或tshark进行协议层分析与批量导出
- 协议解码：用Wireshark打开pcap并关注TCP重传、三次握手失败、RST、TLS报警和应用层错误，导出相关流的概要以便与代理端对比每一步的差异。
- 批量统计：使用tshark脚本批量统计每个时间段的重传次数、延迟分布与TCP状态码，并导出为CSV，便于在表格中直观比较启用与未启用代理时的差异。
- 筛选上下文包：通过过滤同一TCP流或相同五元组，导出完整流的序列号和时间戳，对比在哪一侧出现握手超时或重复发送，定位问题产生点。
SafeW：如何记录和比较DNS与域名解析差异
记录启用代理前后的DNS查询与响应
- DNS抓取：在客户端与代理上分别抓取53端口或记录系统解析缓存（例如使用dig +trace或resolvectl），保存查询时间、被查询的域名、返回的A/AAAA/CNAME记录与TTL信息以供对比。
- 解析路径对比：对比解析使用的上游DNS服务器和返回IP是否一致，检查是否因代理更改了DNS转发、解析顺序或注入了错误的返回导致连接异常。
- 本地缓存检查：清理并记录本地DNS缓存状态（Windows ipconfig /flushdns 或 Linux systemd-resolve –flush-caches），并在启用与关闭代理后分别查询以排除缓存干扰。
验证域名到IP的路由和代理策略一致性
- 域名到IP映射：记录同一域名在本机和代理上解析出的IP列表，逐一测试到每个IP的连通性与延迟，判断是否为特定IP被代理处理或被路由到不同出口。
- 代理路径检查：检查SafeW是否对特定域名实施了不同的转发策略或白名单/黑名单策略，导出策略配置并与实际抓包行为进行比对验证策略生效情况。
- 域名重写验证：确认代理是否进行了SNI替换或域名重写，抓取TLS ClientHello并比对SNI字段与实际目标域名，排查因SNI不匹配导致的证书或连接失败。
SafeW：如何记录系统与应用层日志以补充网络数据
收集应用日志与系统网络日志的时间序列
- 日志时序：在客户端与代理端开启详细日志记录（应用日志、系统日志、SafeW代理日志），统一使用UTC时间并记录高精度时间戳，以便将日志条目与抓包时间轴精确对齐。
- 日志级别调整：在问题发生时临时提升日志级别到debug或trace，捕获更多上下文（如连接建立、重试、超时、认证失败），问题解决后再恢复正常级别以减少噪音。
- 集中存储与标注：将日志统一收集到中央位置（如ELK/Graylog），并在日志条目上加上会话ID或请求ID标签，便于跨主机、跨层级追踪单次请求的完整路径。
检查Socket状态与应用层错误码
- Socket快照：在问题点抓取ss或netstat输出，记录socket状态（ESTABLISHED、SYN_SENT、TIME_WAIT等）和对应的本地/远端端口，帮助判断连接在哪一端被中断或阻塞。
- 应用错误码收集：抓取应用层返回的错误码和异常堆栈（例如HTTP 5xx、连接超时异常），并与代理日志对应，确认是代理引发还是下游服务本身出错。
- 性能指标对比：同时记录CPU、内存、文件描述符使用等系统指标，排除因资源耗尽导致的网络行为退化，从而区分网络配置问题与系统资源瓶颈。
SafeW：如何整理数据并生成可复现的差异报告
构建基于时间轴的差异化对比报告
- 时间轴汇总：将抓包、路由表、DNS解析与日志按统一时间轴合并，标注关键事件（如SYN、SYN-ACK、RST、TLS警告），清晰展示启用代理前后每个事件的差异位置。
- 关键流对比：选取代表性TCP流或HTTP事务，导出双方完整流的包序列与事件注释，逐包比对握手、重传与应用层响应的变化，形成直观对照文档。
- 可视化展示：使用图表展示延迟分布、重传率、成功率等指标变化，并附上抓包截图或片段，帮助非技术接收者快速理解问题影响范围与紧急程度。
整理可交付的故障复现包并提交支持团队
- 复现包内容：打包关键pcap、路由表、DNS记录、应用与代理日志、系统快照及复现步骤说明，确保支持团队能依靠这些材料在隔离环境中复现问题。
- 安全与脱敏：在共享复现包前对敏感数据（Token、密码、个人信息）进行脱敏处理，记录脱敏规则与原始位置，便于后续安全审查与问题定位。
- 问题定位结论：在报告中明确指出已排查的原因与未排查结论，建议下一步验证的具体操作（例如关闭某规则、替换出口或回滚代理配置）以加速问题修复。
SafeW：操作检查清单（快速核对项）
在启用代理前后执行的最小检查集
- 核对项清单：核对抓包是否同时在客户端与代理端保存、路由表和DNS解析是否已导出、日志等级是否提升，并确认所有文件附有时间戳和环境说明以便追溯。
- 复测步骤：按预定义脚本重放失败请求并记录每次尝试的抓包与日志，保证问题可重复出现，从而避免因偶发网络波动导致误判。
- 回滚准备：在测试代理变更前备份原有配置与路由规则，确保在发现代理引入异常时能迅速回滚到已知可用的配置状态，减少业务影响。
常见问题与答案（FAQ）
启用SafeW后，抓包文件很大怎么办？
可以通过过滤器限定五元组或协议缩减抓包范围，使用分段抓包并压缩历史文件，或者仅捕获握手与错误流的前后若干包以便定位问题。
如何保证抓包时间能在不同主机间对齐？
启用NTP或其他时间同步服务，记录抓包开始与结束的高精度时间戳，并在每个日志或抓包文件名中嵌入UTC时间以便后续按时间轴合并分析。
提交给SafeW支持时应包含哪些关键材料？
最佳材料包括：客户端与代理的pcap文件、路由表与DNS解析记录、应用与代理日志、系统资源快照和详细的复现步骤，必要时附上屏幕截图与配置片段。
如何在不影响生产的情况下提升日志级别？
在非高峰时段短时间提升日志级别并限定为特定会话或IP范围，采集足够信息后及时恢复，或在测试环境复现问题以避免在生产增加负载。