实验室环境监控搭建：PoE以太网温湿度传感器TCP/IP数据包抓包解析

□ 交换机支持端口镜像（SPAN/Mirror），确认镜像源和目的端口
□ 采集服务器安装 Wireshark（建议 4.x 版本）
□ 传感器上电，PoE 端口协商正常（Link UP，无 CRC 错误）
□ 采集端能 Ping 通传感器（先确认网络层可达）
□ 记录传感器 IP、端口（默认 502）、从站 ID（默认 1）
□ 记录传感器寄存器映射表（地址、数据类型、缩放因子）

# 只抓传感器 IP 的流量（替换为你实际的传感器 IP）
host 192.168.100.50

# 抓传感器 IP 的 TCP 流量（Modbus TCP 走 TCP）
host 192.168.100.50 and tcp

# 抓传感器 IP 的 TCP 502 端口流量
host 192.168.100.50 and tcp port 502

# 如果同时抓多台传感器
host 192.168.100.50 or host 192.168.100.51 or host 192.168.100.52

# 或更简洁
net 192.168.100.0/24 and tcp port 502

# Modbus TCP 协议
modbus

# TCP 502 端口
tcp.port == 502

# 特定传感器
ip.addr == 192.168.100.50

# 组合：指定传感器的 Modbus TCP 流量
ip.addr == 192.168.100.50 and tcp.port == 502

# 只看 Modbus 请求（采集端 → 传感器）
ip.dst == 192.168.100.50 and modbus

# 只看 Modbus 响应（传感器 → 采集端）
ip.src == 192.168.100.50 and modbus

# TCP 重传包
tcp.analysis.retransmission

# TCP 重复 ACK
tcp.analysis.duplicate_ack

# TCP 零窗口
tcp.zero_window

# TCP 连接重置
tcp.flags.reset == 1

# 连接建立/断开
tcp.flags.syn == 1
tcp.flags.fin == 1

1. 打开 Wireshark，选择采集端网卡（或连接镜像端口的网卡）
2. 设置捕获过滤器（可选，减少无关流量）：
   host 192.168.100.50 and tcp port 502
3. 点击 Start 开始抓包
4. 在采集端触发一次 Modbus TCP 读取（如 Modbus Poll 或采集软件读寄存器）
5. 停止抓包，保存为 .pcapng 文件

┌─────────────────────────────────────────────────────────┐
│              MBAP Header（7 字节）                        │
├──────────┬──────────┬──────────┬────────────────────────┤
│ 事务标识 │ 协议标识 │ 长度     │ 单元标识（从站地址）     │
│ TID      │ PID      │ Length   │ Unit ID                 │
│ 2 字节   │ 2 字节   │ 2 字节   │ 1 字节                  │
│ (0001)   │ (0000)   │ (0006)   │ (01)                    │
├──────────┼──────────┼──────────┼────────────────────────┤
│               PDU（协议数据单元）                         │
├──────────┬──────────────────────────────────────────────┤
│ 功能码   │ 数据                                          │
│ Function │ Data                                          │
│ 1 字节   │ N 字节                                        │
│ (03)     │ (寄存器地址、数量等)                           │
└──────────┴──────────────────────────────────────────────┘

十六进制：  00 01  00 00  00 06  01  03  00 00  00 02

十六进制：  00 01  00 00  00 07  01  03  04  09 38  02 2A

十六进制：  00 01  00 00  00 05  01  83  02

Frame 42: 74 bytes on wire (592 bits)
Ethernet II, Src: 00:0c:29:aa:bb:01, Dst: 00:0c:29:cc:dd:02
Internet Protocol Version 4, Src: 192.168.100.100, Dst: 192.168.100.50
Transmission Control Protocol, Src Port: 49152, Dst Port: 502, Seq: 1, Ack: 1
Modbus/TCP
    Transaction Identifier: 0x0001
    Protocol Identifier: 0x0000
    Length: 6
    Unit Identifier: 1
    Function Code: 3 (Read Holding Registers)
    Reference Number: 0
    Word Count: 2

Frame 44: 74 bytes on wire (592 bits)
Ethernet II, Src: 00:0c:29:cc:dd:02, Dst: 00:0c:29:aa:bb:01
Internet Protocol Version 4, Src: 192.168.100.50, Dst: 192.168.100.100
Transmission Control Protocol, Src Port: 502, Dst Port: 49152, Seq: 1, Ack: 13
Modbus/TCP
    Transaction Identifier: 0x0001
    Protocol Identifier: 0x0000
    Length: 7
    Unit Identifier: 1
    Function Code: 3 (Read Holding Registers)
    Byte Count: 4
    Data
        Register 0 (40001): 0x0938 (2360) → 23.6
        Register 1 (40002): 0x022A (554)  → 55.4

Wireshark → Statistics → IO Graph
  - 设置 Y 轴为 "Packets/s"
  - 时间刻度 1s 或 100ms
  - 观察采集周期是否均匀
  - 如果发现采集间隔忽长忽短，可能是网络拥塞或采集端调度问题

Wireshark → Statistics → Conversations → TCP
  - 查看采集端与传感器的 TCP 会话
  - 关注：数据包数量、字节数、持续时间
  - 如果发现某个会话有大量重传包，说明该链路有问题

Wireshark → Analyze → Expert Information
  - 红色/黄色警告重点关注
  - 常见问题：重传、乱序、零窗口、连接重置

No.   Source          Destination     Protocol  Info
1     192.168.100.100 192.168.100.50 TCP       49152 → 502 [SYN]
2     192.168.100.100 192.168.100.50 TCP       49152 → 502 [SYN]
3     192.168.100.100 192.168.100.50 TCP       49152 → 502 [SYN]

No.   Source          Destination     Protocol  Info
1     192.168.100.100 192.168.100.50 TCP       [SYN]
2     192.168.100.50  192.168.100.100 TCP       [SYN, ACK]
3     192.168.100.100 192.168.100.50 TCP       [ACK]
4     192.168.100.100 192.168.100.50 Modbus/TCP [TCP segment of a reassembled PDU]
5     (无响应，3秒后出现超时重传)

响应报文功能码为 0x83，异常码为 0x02（非法数据地址）

No.   Source          Destination     Protocol  Info
10    192.168.100.100 192.168.100.50 TCP       [TCP Retransmission] 502→49152
15    192.168.100.100 192.168.100.50 TCP       [TCP Retransmission] 502→49152
22    192.168.100.100 192.168.100.50 TCP       [TCP Retransmission] 502→49152

No.   Source          Destination     Protocol  Info
8     192.168.100.50  192.168.100.100 TCP       502 → 49152 [RST, ACK]

# 抓 UDP 流量
udp

# 抓指定端口的 UDP
udp port 8888

# 抓指定传感器的 UDP
ip.addr == 192.168.100.50 and udp

十六进制：  AA 55  00 00 00 64  66 78 9A BC  00 0A  09 38  02 2A  00 01  12 D6  00 00  00 00  3F 8E

from scapy.all import *
from scapy.layers.inet import TCP

def analyze_modbus_pcap(pcap_file):
    packets = rdpcap(pcap_file)
    
    for pkt in packets:
        if pkt.haslayer(TCP):
            tcp = pkt[TCP]
            # 检查是否是 Modbus TCP（端口 502）
            if tcp.dport == 502 or tcp.sport == 502:
                payload = bytes(tcp.payload)
                if len(payload) >= 8:
                    tid = int.from_bytes(payload[0:2], 'big')
                    pid = int.from_bytes(payload[2:4], 'big')
                    length = int.from_bytes(payload[4:6], 'big')
                    unit_id = payload[6]
                    func_code = payload[7]
                    
                    print(f"TID={tid:04x} PID={pid:04x} Len={length} "
                          f"Unit={unit_id} Func=0x{func_code:02x}")
                    
                    # 解析响应中的数据
                    if len(payload) > 9 and func_code == 0x03 and tcp.sport == 502:
                        byte_count = payload[8]
                        data_bytes = payload[9:9+byte_count]
                        for i in range(0, byte_count, 2):
                            reg_val = int.from_bytes(data_bytes[i:i+2], 'big')
                            print(f"  寄存器 {i//2}: 0x{reg_val:04x} = {reg_val} ({reg_val*0.1}℃)")

analyze_modbus_pcap("lab_capture.pcapng")

from scapy.all import *
from collections import deque

# 保存最近 100 个 TID，用于检测响应是否匹配
recent_tids = deque(maxlen=100)

def packet_callback(pkt):
    if pkt.haslayer(TCP):
        tcp = pkt[TCP]
        payload = bytes(tcp.payload)
        
        # 检测 Modbus TCP 请求
        if tcp.dport == 502 and len(payload) >= 8:
            tid = int.from_bytes(payload[0:2], 'big')
            func_code = payload[7]
            recent_tids.append(tid)
            print(f"[REQ] TID={tid} Func=0x{func_code:02x}")
        
        # 检测异常响应
        if tcp.sport == 502 and len(payload) >= 9:
            func_code = payload[7]
            if func_code > 0x80:
                err_code = payload[8]
                print(f"[ERR] TID={int.from_bytes(payload[0:2],'big')} "
                      f"Exception=0x{err_code:02x}")

# 开始抓包（需要 root/admin 权限）
sniff(filter="tcp port 502", prn=packet_callback, store=0)

□ 传感器 PoE 供电正常（交换机端口状态、功耗）
□ 传感器 IP 可达（Ping 延迟 < 2ms，0% 丢包）
□ TCP 502 端口可达（Telnet / nc 测试）
□ 交换机端口无 CRC 错误、无丢包
□ 端口速率协商正确（100M/1000M Full Duplex）

□ Wireshark 抓到完整的三次握手
□ Modbus TCP 请求报文格式正确（MBAP 头 + PDU）
□ 传感器响应正常（功能码 0x03，数据字节数正确）
□ 数据解析正确（与标准温湿度计比对，偏差 ≤ 0.5℃/≤3%RH）
□ 无异常响应（无 0x80+ 功能码）
□ 无 TCP 重传（或重传率 < 0.1%）
□ 无 TCP 连接重置

□ 连续采集 24h，在线率 100%
□ 数据曲线平滑，无跳变
□ 拔网线 5s/30s 后恢复，自动重连成功
□ 传感器重启后配置保持，自动上线
□ Wireshark 抓包文件归档（含时间戳、传感器 IP）