在 iOS 开发与运维中，遇到 “抓不到包” 或 “HTTPS 握手失败” 是常见问题。要把问题从模糊的用户投诉变成可验证的结论，必须把抓包流程工程化：明确抓取目的、选择合适工具、按层次分析并形成可交付的证据链。本文按实战顺序给出完整步骤、命令与工具组合，并说明在代理受限或证书 pinning 场景下的替代方案使用抓包大师 Sniffmaster，便于直接套用到故障工单中。

一、抓包前先想清楚三件事

1. 抓什么层？ TCP（连通性）、TLS（握手/证书）还是应用层（HTTP/2/1.1）？
2. 在哪抓最有价值？ 优先在最接近问题发生的一端抓（本地代理或后端）；同一问题应同时保留代理日志与后端 pcap 以便对比。
3. 合规与范围：生产抓包限定时间窗、最小化过滤（IP/端口/时间），保存时加密与控制访问。

二、工具矩阵与职责（必读）

• 代理式抓包（解密与交互）：Charles / Fiddler / Proxyman / mitmproxy — 用于查看明文请求、断点修改与模拟回包。前提：在 iOS 上安装并信任代理 CA。适合功能调试与快速定位请求层面问题。
• 底层抓包（证据化）：tcpdump / tshark / Wireshark — 在网关或后端抓 -s 0 的完整 pcap，用于分析三次握手、TLS 握手、重传与 QUIC。是判定流量是否到达服务器的权威证据。
• 脚本化与自动化：mitmproxy 脚本、pyshark、scapy — 用于批量统计 TLS Alert、自动回放与生成诊断报表。
• 替代抓包方案（代理无效时）：抓包大师（Sniffmaster）— 当无法在终端上安装或信任代理 CA、或遇到 pinning、mTLS、HTTP/3 等边界场景时，可按 App/域名精准抓取流量并导出 pcap，支持 HTTPS 抓取与受控解密、拦截器与 JavaScript 脚本修改请求/响应、导出 Wireshark 兼容文件用于深入分析。

三、可复制的排查流程（TCP → TLS → HTTP）

1. 确认能否连通（TCP）：

   1nc -vz api.example.com 4432sudo tcpdump -i any host <client_ip> and port 443 -s 0 -w /tmp/server.pcap

   若没有 SYN/ACK，优先检查防火墙、路由或端口监听。

2. 检查 TLS 握手与证书（TLS）：

   1openssl s_client -connect api.example.com:443 -servername api.example.com -showcerts

   在 Wireshark 中过滤 tls.handshake.type == 1（ClientHello）与 tls.alert_message，查看 SNI、证书链与 Alert 类型。

3. 查看应用层（HTTP）：在能解密的环境下用 Charles/mitmproxy 检查请求头、签名与响应体；若代理无效，依靠 pcap 解密或并排比对 client/server pcap 找差异。

四、常见难点与处理策略

• 证书 pinning 或自定义 TLS 栈：浏览器可抓但 App 不行，通常为 pinning 或内置 TLS。短期让开发提供测试构建或临时关闭 pinning；无法修改时，采用按 App/域名导出 pcap 的方案对比证书链与握手细节。
• HTTP/3（QUIC）：QUIC 使用 UDP（通常 443），传统 TCP 代理不可见。解决办法是在测试环境强制退回 TCP+HTTP/2，或在服务端抓 UDP/443 包做分析。
• 网络中间件替换证书：若仅在某运营商或公司网络出现故障，比对客户端看到的证书 Issuer 与服务器实际证书可快速判定是否存在透明代理。

五、替代与补抓策略（代理失效时）

当 Charles/Fiddler 无法捕获流量，最佳实践是：一并保留 后端 pcap + 终端导出 pcap，在 Wireshark 中并排对齐时间线，逐帧比对 ClientHello、ServerHello、证书链与 tls.alert。

抓包大师（Sniffmaster）在这类流程中可以作为可执行替代方案，提供按 App/域名过滤、HTTPS 解密选项、拦截与脚本化修改能力，导出的 pcap 可直接在 Wireshark 中分析，帮助快速定位流量在何处被丢弃或替换。

六、交付标准（每次分析应包含）

• 复现时间窗（精确到秒）与 request-id；
• 抓包文件（server.pcap / capture.pcap），加密存储并限制访问；
• Wireshark 关键帧截图（ClientHello / tls.alert / 关键 HTTP Header）；
• 分析结论（问题归属：终端/网络中间件/服务端）与可执行修复建议（如补 fullchain、调整 pin 策略、放行 QUIC）。

iOS 抓包不是单一工具的事，而是工具组合与流程化能力。把 Charles、tcpdump、Wireshark 与脚本化工具按职责组合使用，并在代理受限或证书 pinning 场景下采用按 App/域名抓取并导出 pcap 的方案（例如抓包大师 Sniffmaster）做补充，能把“无法复现”的问题变成可验证、可复现的工程任务，显著缩短故障闭环时间。