如何用wireshark抓包：实操流程

如何用wireshark抓包，先选择网卡，设置过滤条件，启动捕获，停止后筛选分析数据包；该方法适合具备基础网络常识、仅用于自查自有设备流量的人员，不适合抓取不属于自己管控的网络、他人设备通信流量，Windows、macOS系统均可操作，Linux需要提前安装libpcap依赖库，抓包文件默认后缀为pcapng，可导出pcap格式适配其他分析工具。

如何用wireshark抓包：网卡选择与启动捕获

打开软件首页，上方列表会展示本机所有可用网卡，包含有线网卡、无线网卡、虚拟网卡、回环网卡，回环网卡标识为Loopback，只能抓取本机内部程序互相收发的数据。你点击对应网卡一行，再点击鲨鱼鳍形状的捕获按钮，就开始持续接收数据包，无线网卡在普通模式下大多只能抓到本机收发报文，开启监听模式后才有可能接收同信道其他设备无线帧，不同笔记本无线网卡对监听模式的支持程度存在差异。

网卡选错，抓不到目标流量。

如何用wireshark抓包：捕获过滤器与显示过滤器区分

捕获过滤器语法较为精简，只支持伯克利包过滤语法，写错会直接无法启动捕获；显示过滤器语法更丰富，支持协议字段、布尔运算，写错输入框底色会变红，不会终止抓包。你优先用显示过滤器，前期不需要严格限制捕获内容，方便后续排查没有预料到的异常报文，流量很大、存储空间有限时再搭配捕获过滤器缩小捕获范围。

如何用wireshark抓包：报文查看与基础解析

抓包界面分为三层面板，上层是报文列表，中间是报文详情树，下层是十六进制原始字节。你在列表选中一条报文，中间面板会自动拆分链路层、网络层、传输层、应用层信息，点开加号就能查看源IP、目的IP、端口、标志位等内容，HTTP、DNS这类常见协议会自动解析出可读文本，加密的HTTPS报文默认只能看到TCP握手信息，无法直接读取业务明文，需要配置SSLKEYLOG文件才能解密。

如何用wireshark抓包：停止捕获与文件保存

点击正方形停止按钮终止捕获，流量会暂停新增，原有报文全部留在内存中，长时间抓包不及时保存，关闭软件后数据直接丢失。你选择文件菜单里的保存选项，默认保存为pcapng格式，该格式支持保存注释、会话统计信息；如果要发给其他老旧分析工具，选择另存为，切换成pcap格式，部分老工具不兼容pcapng。还可以使用导出指定报文功能，单独把筛选后的报文另存为新文件，方便分享。

如何用wireshark抓包：权限与系统适配要点

Windows系统安装时勾选Npcap组件，没有安装该组件会出现网卡列表空白、无法启动捕获的情况；macOS打开软件时需要输入管理员密码，密码用于授予网卡捕获权限；Linux系统除安装wireshark包外，需要把当前用户加入wireshark用户组，不然每次运行都要搭配sudo命令。虚拟机抓包时，桥接模式网卡可以抓到局域网流量，NAT模式只能抓到主机和虚拟机之间的流量。

仅可在自身拥有管理权限的网络环境内开展抓包操作。

如何用wireshark抓包：典型排查场景用法

• 排查DNS解析：使用显示过滤器dns，查看请求和响应时延、解析结果
• 排查TCP连接：筛选tcp，重点看SYN、ACK、RST标志，定位连接失败原因
• 查看HTTP请求：http，检查请求路径、状态码、请求头

你做时延排查时，看报文列表里的Time列，该列默认是相对捕获开始的时间，也可以修改设置切换为绝对时间，方便对齐系统日志，定位业务报错对应的网络事件。