用途：分析 .pcap/.pcapng 网络抓包，用于打开抓包文件、检查数据包、排查网络问题。
主要能力：通过 Packet Buddy MCP 服务器调用工具。发现类：list_pcaps 列出可分析文件，pcap_summary 给出包数量、持续时间和抓包大小。流量分析：pcap_protocol_hierarchy 协议占比，pcap_conversations 按 IP/TCP/UDP/以太网层查看通信双方，pcap_endpoints 按流量排序端点。过滤与检查：pcap_filter 应用 Wireshark 显示过滤器，pcap_packet_detail 按编号完整解码，pcap_to_json 导出 JSON，pcap_expert_info 查看告警、错误、重传与异常。协议专项：pcap_dns_queries 提取 DNS 查询与响应，pcap_http_requests 提取 HTTP 方法、URI 与主机。文件管理：save_pcap_from_base64 保存 base64 编码的 pcap。
用法：调用形式为 python3 $MCP_CALL "python3 -u $PACKET_BUDDY_MCP_SCRIPT" <tool_name> '<json_args>'。环境变量 PACKET_BUDDY_MCP_SCRIPT 指向 packet-buddy-mcp/server.py；PCAP_UPLOAD_DIR 指定存放目录，默认 /tmp/netclaw-pcaps。常见工作流：Slack 上传 pcap 后先下载并以 save_pcap_from_base64 保存，再用 pcap_summary 概览并询问调查方向；排障时依次看摘要、协议层级、会话、专家信息，再用过滤器聚焦、对可疑包做详情解码。常用过滤示例：tcp.analysis.retransmission、tcp.flags.reset==1、dns、icmp、bgp、ospf、tcp.port==22、http、tls.handshake、arp、stp、ip.addr==10.0.0.1。
限制与注意：大抓包可能较慢，建议先用过滤器缩小范围；展示结果时应总结要点而非倾倒原始输出；优先查看 pcap_expert_info；Slack 上传需先确认文件已保存。若工具调用出现认证或连接错误，先检查 PACKET_BUDDY_MCP_SCRIPT 是否设置且有效；工具报错（超时、主机不可达、响应格式错误）应如实报告错误信息，不要编造结果。只读调用可检查连接并适当重试一次；会改变状态或发送消息的调用，超时不代表失败，应检查当前状态或投递状态后再决定，保留必要的审批与变更门禁。