从 PCAP 找到 MQTT 根因证据

当 MQTT 客户端只报告“连接断了”时，抓包可以帮助你判断链路上的报文是否支持更具体的解释。本页会调查合成客户端 dup 为什么断开，并从概览一路追到具体的 CONNECT 与 DISCONNECT 报文。

整个流程使用 Mqttable 内置的 demo.pcapng。它只包含合成客户端和回环端点，不需要 Broker、Connection、Credential 或用户自己的抓包。即使暂时没有安装 Mqttable，也可以通过截图看懂每个状态和结果；要亲自执行分析，仍需安装并打开 Mqttable。

PCAP 是什么、什么时候用

PCAP（Packet Capture）保存了在特定采集点与时间窗内观察到的网络报文。Mqttable 会解码其中受支持的 MQTT 流量，检查抓包是否足以支持判断，并把诊断结果链接回具体报文。

当客户端侧的 Trace 不足以解释链路上发生了什么时，使用 PCAP 核对 MQTT 控制报文、方向与顺序、连接时间窗和协议级断开原因。PCAP 只能证明采集点在该时间窗内看到的内容，不能单独证明应用已经处理消息、Broker 的全部内部行为或唯一根因。

本教程目标与完成标准

本教程使用内置 demo.pcapng 调查合成客户端 dup 的会话接管，不需要 Broker、Connection、Credential 或用户自己的抓包。

完成教程时，你应该能够：

• 等待分析变成完成并打开概览；
• 确认 dup 在两条时间窗重叠的 TCP Connection 上发送了 CONNECT；
• 确认一条 DISCONNECT 携带 0x8E / 142，即会话被接管；
• 分别写下直接观察、有边界的判断和仍需验证的内容；
• 删除 Demo，并确认之前的分析重新显示没有之前的分析。

启动内置 Demo

1. 在 Mqttable 侧边栏选择 PCAP。
2. 确认之前的分析显示没有之前的分析。
3. 选择分析演示抓包。

123

如果看不到 Demo 按钮，请停止。 这表示当前 Runtime 已经存在分析。不要为了本教程删除不认识的抓包；Demo 操作只会在空状态出现。

等待分析完成

Mqttable 会立即为 demo.pcapng 创建分析。状态仍为处理中时，百分比和六个流水线阶段只说明工作正在进行。取消分析会停止任务，不是成功操作。

123

等到状态变成完成并出现概览后再继续。在 Mqttable v1.0.1 中，内置 Demo 会解码 443 条 MQTT 报文、报告 7 个问题，并通过 60 项检查中的 54 项。

123

按以下顺序阅读结果：

• 抓包可信度 100 / 高表示当前抓包足够完整，可以支持页面展示的包级结论；它不是 Broker 健康分。
• MQTT 行为健康度 84 / 基本健康表示多数行为正常，但仍有有证据的例外。
• 覆盖率 54 / 60表示 54 项通过、2 项需要检查、2 项证据不足、2 项无流量。“证据不足”和“无流量”都不是通过。
• 优先问题只是建议的调查入口，不是自动宣布的最终根因。

打开优先问题

在优先问题中选择查看问题组。只有详情为 Client ID 连接重叠时才继续。

123

先记录精确事实：

• Client ID：dup
• 第一条 Connection：127.0.0.1:2883<->127.0.0.1:55562
• 第二条 Connection：127.0.0.1:2883<->127.0.0.1:55566
• 证据报文：2

问题组会合并重复命中，但不能指出是哪两个进程创建了这些连接。

检查 CONNECT 证据

选择打开解码后的 MQTT 报文。Mqttable 会清除可能遮挡证据的过滤器，选中报文 ID 92 和 96，并把 Grid 定位到第一条证据；它不会自动打开消息详情。

123

点击 08-10 10:14:17.889 的高亮 CONNECT。核对 Endpoint 127.0.0.1:55562、MQTT version 5、Keep Alive 60s、Clean Start 是、Client ID dup，以及保持脱敏的密码。

123

这些值不是 Mqttable 生成的；合成客户端把它们编码进了 demo.pcapng，Mqttable 负责从报文中解码。

确认会话接管信号

返回问题，选择会话接管信号。详情必须显示客户端 dup、Reason 142 和一条证据报文。

123

选择打开解码后的 MQTT 报文，再点击高亮的 DISCONNECT 行。只有消息详情显示 0x8E - 会话被接管 时才继续。

123

审计诊断检查

从 Client ID 重叠问题选择相关检查，再打开 Client ID 连接重叠。即使使用 Free，Demo 也会展示全部 60 项检查详情。

123

这就是 Mqttable 相对普通报文列表的实际价值：先判断抓包是否可信，再合并重复异常、解释每项检查的证据边界，并把结论链接回解码报文。它不会取代应用日志、Broker 内部诊断或通用抓包分析器。

写下有边界的结论

• 直接观察： Client ID dup 在两条可见时间窗重叠的 TCP Connection 上发送了 CONNECT；另有一条 DISCONNECT 携带 0x8E / 142，即会话被接管。
• 有边界的判断： 这些观察结果与 Client ID 复用导致的 MQTT 会话接管一致。
• 仍需验证： PCAP 不能指出是哪些进程、Replica、配置文件或重连路径复用了 dup。下一步检查 Client ID 生成规则、应用日志、部署清单和 Broker 日志。

不要把它缩写成“PCAP 已证明唯一根因”。抓包只能证明在该采集点与时间窗看到的内容，不能单独证明应用处理结果或全部 Broker 内部事件。

安全分析自己的抓包

完成 Demo 后，**打开抓包…**支持一个 .pcap、.pcapng、.cap，或包含受支持抓包的 .zip。UI 上限为 50 MB，ZIP 内解压后的抓包也必须在此范围内。

1. 记录授权人、采集主机、Interface、方向、时区与时间窗、Filter、Snap length，以及已知丢包或截断。
2. 使用获准副本。抓包可能包含明文 Credential、Client ID、Topic 与 Payload。UI 脱敏不等于源文件、导出或截图已经脱敏。
3. 确认 Runtime。Local Runtime 在本机分析；Remote Runtime 会在远端接收并分析文件，并要求当前在线 Pro、登录以及 pcap:upload、pcap:analyze 权限。遇到 Locked 或权限错误就停止，不存在自动 Local fallback。
4. 先看抓包可信度。TLS、单向流量、TCP Gap、截断或中途开始都可能得到证据不足，不能把它解释成通过。

删除 Demo 分析

分析默认约两小时后过期。确认当前对象是 demo.pcapng，选择标题栏垃圾桶，阅读删除此分析？此操作无法撤销。，然后选择确认。

123

只有之前的分析重新显示没有之前的分析时，清理才算完成。

123

下一步

• 需要客户端视角的实时 MQTT 证据时，使用 Trace。
• 需要把已审查证据变成隔离测试时，使用 Replay，并先完成 Dry Run。
• 需要在受限目标与故障预算内复现延迟、断开或丢包时，使用 Proxy。