当前位置：首页 > news >正文

从抓包实战看LTE附着：Wireshark如何帮你一步步解析RRC与NAS信令（含pcap文件）

news 2026/5/10 13:27:47

从抓包实战看LTE附着：Wireshark如何帮你一步步解析RRC与NAS信令（含pcap文件）

在移动通信网络优化和故障排查中，信令分析是最核心的技能之一。想象一下这样的场景：用户投诉4G网络无法正常上网，作为工程师的你，如何快速定位是终端问题、无线侧问题还是核心网问题？这时候，一份完整的抓包数据可能就是你的"破案线索"。本文将带你用Wireshark这个"网络显微镜"，像侦探一样层层剖析LTE附着过程中的关键信令。

1. 准备工作：搭建你的信令分析实验室

工欲善其事，必先利其器。在开始分析之前，我们需要准备以下工具和环境：

Wireshark 3.6+（建议最新稳定版）
LTE信令知识基础（了解基本流程）
示例pcap文件（文末提供下载链接）
过滤表达式备忘录（常用过滤命令）

提示：建议使用性能较好的PC进行分析，因为信令数据可能非常密集，对CPU和内存要求较高。

安装好Wireshark后，我们需要进行一些基础配置：

# 安装必要的解码插件 sudo apt-get install wireshark-qt

# 验证安装是否成功 import subprocess result = subprocess.run(["tshark", "-v"], capture_output=True, text=True) print("Wireshark版本:", result.stdout.split('\n')[0])

关键配置项检查清单：

启用"Decode LTE MAC"选项
加载3GPP协议栈解析模块
设置合适的缓存大小（建议256MB以上）

2. 理解LTE附着流程的关键阶段

LTE附着过程可以分解为几个关键阶段，每个阶段都有其独特的信令特征：

随机接入与RRC连接建立
- PRACH前导码发送
- RRC Connection Request
- RRC Connection Setup
NAS层交互
- Attach Request
- Authentication and Security
- Attach Accept
承载建立
- Default Bearer Setup
- EPS Session Management

典型信令流程图：

阶段	空口消息	核心网消息
初始接入	RRC Connection Request	-
鉴权安全	RRC DL Information Transfer	Authentication Request
附着完成	RRC Connection Reconfiguration	Attach Accept

3. Wireshark实战：解析pcap文件

现在让我们打开提供的示例pcap文件，开始真正的"法医式"分析。

3.1 过滤关键信令消息

首先应用基础过滤表达式：

-- 过滤所有LTE空口信令 lte_rrc -- 过滤NAS消息 nas-eps && nas-eps.emm.message_type == 0x41 -- Attach Request

常见问题排查过滤表达式集：

# 查找所有失败响应 lte_rrc.rrc_transaction_id and lte_rrc.failure # 特定UE的完整流程 (ip.src == 192.168.1.100) || (ip.dst == 192.168.1.100)

3.2 解读RRC Connection Setup消息

找到第一条关键消息后，我们需要关注这些字段：

rrcConnectionSetup-r8：包含关键无线参数
- radioResourceConfigDedicated
- mac-MainConfig
- physicalConfigDedicated

注意：如果这里出现异常，通常意味着空口质量问题或资源不足。

典型参数值参考表：

参数	正常值范围	异常指示
dl-Bandwidth	6,15,25,50,75,100	0(异常)
antennaInfoCommon	1-8	0(异常)
prach-ConfigIndex	1-64	0或超出范围

3.3 分析NAS层鉴权流程

鉴权失败是附着失败的常见原因，重点关注：

# 查找鉴权相关消息 nas-eps && nas-eps.emm.message_type in {0x52 0x53}

鉴权失败常见原因：

错误的鉴权算法配置
HSS中用户数据异常
SQN同步失败
终端USIM卡问题

4. 高级技巧：编写自定义解析脚本

对于需要批量分析的场景，我们可以扩展Wireshark的功能：

-- 自定义LTE信令解析插件示例 local p_emm_type = ProtoField.uint8("nas.emm.type", "EMM Message Type", base.HEX) local emm_types = { [0x41] = "Attach Request", [0x42] = "Attach Accept" } function nas_emm_dissector(buffer, pinfo, tree) local offset = 0 local msg_type = buffer(offset, 1):uint() tree:add(p_emm_type, buffer(offset, 1)):append_text(" ("..emm_types[msg_type]..")") offset = offset + 1 -- 更多字段解析... end

常用Lua脚本功能：

自动统计信令时延
异常模式检测
关键参数趋势分析

5. 典型故障案例解析

让我们看一个真实案例：用户频繁附着失败，抓包数据显示：

Time Source Destination Protocol Info 00:00.123 UE_eNB eNB_UE LTE RRC RRC Connection Request 00:00.456 eNB_UE UE_eNB LTE RRC RRC Connection Reject (cause: congestion)

排查思路：