我带过的 3 个新人 第一个新人，我让他装 Wireshark，抓包看 REGISTER。
他抓了一天，问我：“这些报文我看得懂每个字，但不知道哪行是错的。”
第二个新人，我给他一份 401 认证失败的抓包。他对着 RFC 3261 看了两天，最后问我：“realm 和 nonce 到底哪个是密码？”
第三个新人，直接说：“哥，我能不能不学 Wireshark，你告诉我怎么查就行。”
三个新人，零个靠 Wireshark 入门。
Wireshark 的问题不是不好，是太好 Wireshark 是显微镜。它能给你看每一个字节。
但新人需要的是结论，不是原始数据。
一个注册失败的抓包，展开有：
REGISTER 请求头 15 行
401 响应头 12 行
第二次 REGISTER 带 Authorization 头 8 行
XML 报文 20 行
加起来 55 行。每行都对，但每行都不告诉你“错在哪”。
你要新人从 55 行里找出“realm 不匹配”，等于让他大海捞针。
我自己的黑历史 2019 年，一个项目注册不上。我抓包看了 3 小时，最后发现是设备 SIP 域填成了平台编码。
两个字段长得几乎一样：
SIP 域： 3402000000 平台编码： 34020000002000000001 Wireshark 里，两个都显示在报文里。我当然看得见。但我不知道哪个该填在哪个字段。
这不是 Wireshark 的问题。这是知识断层的问题。
真正该教新人什么 不是 Wireshark 怎么用，是：
注册流程有几步：REGISTER → 401 → REGISTER → 200
每步的关键字段是什么：realm、nonce、username、response
常见错误长什么样：401 是认证问题，超时是网络问题，掉线是心跳问题
这些是流程知识，不是工具技能。
工具应该把这些流程自动化，直接告诉新人“断在第二步，原因是 realm 不匹配”。
现在我怎么带新人 我先让他跑一次 GBDoctor，看报告：
注册断在认证阶段。平台返回 401，设备第二次 REGISTER 未到达。 疑似 NAT 或防火墙拦截。
然后我问他：“你知道为什么平台要回 401 吗？”
他带着问题去看 Wireshark，5 分钟就懂了。
先给结论，再给数据。 这才是正确的学习路径。
说点得罪人的 那些张口就说“先学 Wireshark”的人，多数是自己会了，忘了当初怎么不会的。
Wireshark 要学，但不是第一步。
第一步是：知道一个正常的 GB28181 接入流程长什么样。
最后 Wireshark 是显微镜，不是老师。
新人需要的不是显微镜，是一个能告诉他“你断在第几步”的体检报告。
项目地址 Gitee：suoten/GBDoctor GitHub：suoten/GBDoctor 搜不到？在 Gitee 或 GitHub 搜索：GBDoctor 或 suoten GBDoctor
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/70050062/viewspace-3184171/ ，如需转载，请注明出处，否则将追究法律责任。
