用途：分析本地 Wireshark pcap/pcapng 抓包文件，定位网络传输问题并生成结构化 Markdown 诊断报告。
主要能力：C1 传输速率诊断（每秒吞吐、峰值/均值/最低、突降检测与根因排序）；C2 TCP 性能分析（窗口收缩/零窗口、RTT 统计与尖峰、重传突发、乱序与重复 ACK）；C3 连接异常检测（异常 FIN/RST、带载荷 RST 中间盒注入、握手失败）；C4 IPsec/IKE 协商分析（IKEv1/v2 自动识别、SA 提议、notify、重试、NAT-T）；C5 MTU/大包分析（ICMP 需分片、大包占比、MSS 与重传不匹配及建议）；C6 DNS 异常（NXDOMAIN/SERVFAIL/REFUSED、无应答、TCP 回退、慢查询）；C7 TLS 握手（ClientHello/ServerHello 配对、Alert、过时协议版本、SNI 提取）；C8 ICMP 错误汇总；C9 按 --src/--dst/--port 过滤分析；C10 用 --output 输出 Markdown 报告。
使用方式：需 Python 3 与 scapy，安装命令 pip3 install scapy。运行前必须与用户确认 pcap 文件路径，不得自行猜测或扫描文件。所有分析必须通过入口脚本 scripts/pcap_analyze.py 执行。示例：SKILL_DIR=~/.qoderwork/skills/alibabacloud-pcap-analyzer；cd $SKILL_DIR && python3 scripts/pcap_analyze.py capture.pcap；可加 --src 10.0.0.1 --dst 10.0.0.2 --port 443；--output report.md 写文件，省略则输出到 stdout。退出码：0 成功，1 输入/文件错误，2 缺少 scapy。
报告结构：最多 16 节，前 8 节固定（文件元数据、TCP 会话概览、传输速率、窗口、RTT、重传/乱序、FIN/RST、包大小分布）；第 9-15 节按检测到的可疑模式动态出现（DNS、TLS、TCP 建连失败、ICMP、MTU/大包、零窗口/Keepalive、IPsec/IKE，IKE 需 UDP 500/4500 流量）；末节为综合结论并排序可能根因。
限制：只读，不修改/移动/删除文件，无需凭据；仅分析用户明确指定的文件。RTT 与重传/乱序检测依赖包含 SYN/SYN-ACK 的完整 TCP 流。TLS 加密流量只能分析 TCP/TLS 握手层，无法检查应用层载荷。超过 100 MB 的抓包可能耗时较长，建议先用过滤参数缩小范围。VPN/IPsec 封装约增加 50-80 字节开销，可考虑将两端接口 MTU 降至 1400 或更低。详细规则见 references/analysis-rules.md、报告结构见 references/report-structure.md、限制见 references/limitations.md，按需加载。