Stimmt schon, beim TCP-Sniffer kann extrem viel Müll gesammelt werden.
Deshalb setzt man auch immer Filter ein. Sonst ist das wirklich nur Arbeitsbeschaffung.

Bei der Analyse schrenkt man auf den "Client-Port" ein und spring zur letzten Übermittlung und schon sieht man wer bzw. weshalb die Verbindung abgebrochen wurde.
(Z.B.: Wurde vom Client oder vom Server ein RESET Packet geschickt, da die Verbindung unerwartet abgebrochen wurde, oder wurde sie "normal" beendet usw.)
Einen Vergleich mit einer Variante benötigt man nicht unbedingt. Das TCP Protokoll hat da ganz klare Richtlinien wie eine Verbindung aufgebaut, gehalten und dann wieder geschlossen wird.
Auch gibt es Richtlinien warum eine Verbindung geschlossen wird.

Das ist dann aber auch erst der Anfang.
Wenn man erkennt WAS genau passiert, kann man dann auf die Suche nach dem WARUM gehen.
Jedoch muss man das WAS erst einmal verstehen, damit man weiter in die richtige Richtung gehen
kann.
Sonst ist das oft nur ein Raten und Würfeln was in der Praxis bedeutet:
* Lesen von Firewall/Router Logs nach unauffälligkeiten
* An TCP Einstellungen herumspielen (am Client und/oder Server)
* Oder die Ursache dort vermuten, wo die eigene Zuständigkeit sowieso aufhört

Wenn ihr Unterstützung benötigt, könnt ihr mich gerne auch kontaktieren.