4. 抓包环境搭建与权限配置

列车网络抓包与普通办公网抓包最大的区别在于：抓包点往往位于车载交换机、MVB/ECN 网关或维护终端的镜像口上，链路可能是百兆全双工，也可能是经过 NAT 或网关转发的工业以太网。因此，环境搭建的核心不是“装一个软件”，而是让抓包工具在正确的网卡上、以正确的权限、看到正确的流量。本节围绕工具安装、混杂模式、捕获过滤器与显示过滤器四个环节展开，并给出可直接套用的配置样例。

一、工具选型与安装位置

列车维护场景中常用的抓包工具是 Wireshark（图形界面）与 tshark（命令行），二者共用同一套协议解析库，过滤器语法完全一致。安装位置有两种典型选择：一是维护笔记本，通过网线接入车载交换机的镜像口或维护口；二是车载维护终端（多为 Linux 系统），直接在设备侧抓包。前者便于现场分析，后者适合长时间无人值守记录。安装时需注意：Wireshark 安装包会同时安装 Npcap（Windows 抓包驱动），安装过程中必须勾选“Install Npcap”，否则网卡列表为空；Linux 下则需安装 libpcap 及 dumpcap 的相应权限。

一个容易被忽略的细节是网卡选择。维护笔记本常同时存在有线网卡、无线网卡和虚拟网卡（如 VPN、虚拟机网桥），若在错误的网卡上抓包，会得到“有包但全是无关流量”或“完全无包”的结果。建议在抓包前先用 ipconfig /all（Windows）或 ip addr（Linux）确认与列车网络相连的网卡名称和 IP 网段，再在 Wireshark 的接口列表中按名称选中。

二、混杂模式与权限配置

混杂模式（Promiscuous Mode）的作用是让网卡接收所有经过它的帧，而不仅是目的 MAC 为本机的帧。在交换式网络中，普通端口只能看到本机收发的流量，因此抓包点通常需要交换机配置端口镜像（SPAN），把目标端口流量复制到抓包口；此时抓包网卡开启混杂模式，才能接收到镜像过来的、目的 MAC 并非本机的帧。Wireshark 默认在捕获选项中勾选“在所有接口上使用混杂模式”，但若镜像配置正确而抓包仍看不到对向流量，应首先检查该选项是否被关闭。

权限方面，Windows 下 Npcap 安装时若未勾选“Restrict Npcap driver's access to Administrators only”，普通用户也可抓包；若勾选，则必须以管理员身份运行 Wireshark。Linux 下更规范的做法是不用 root 直接运行图形工具，而是给 dumpcap 赋予抓包能力：

sudo setcap cap_net_raw,cap_net_admin+eip /usr/bin/dumpcap
sudo usermod -aG wireshark $USER

执行后需重新登录使组权限生效。这样既满足抓包所需的原始套接字权限，又避免长期以 root 身份操作带来的风险。车载维护终端若为定制系统，还需确认内核已加载抓包所需模块，且防火墙未拦截镜像口流量。

三、捕获过滤器：在抓包前缩小范围

捕获过滤器（Capture Filter）使用 BPF 语法，在数据进入抓包缓冲区之前生效，能显著降低长时间抓包时的磁盘占用和丢包风险。其语法以“协议 + 方向 + 类型 + 值”组合，常用示例如下：

需要注意，捕获过滤器不支持协议字段级的复杂判断（例如“TCP 载荷中包含某字符串”），这类需求应交给显示过滤器。另外，BPF 中的 port 对 TCP 和 UDP 同时生效，若只想抓 TCP，应写 tcp port 502 而非 port 502。

四、显示过滤器：在已抓报文中精确定位

显示过滤器（Display Filter）作用于已捕获的报文，语法形如 协议.字段 比较符 值，支持逻辑组合。列车网络中常见的定位需求包括：按源/目的 IP 过滤、按 TCP 端口过滤、按协议过滤，以及按 TCP 重传、乱序等异常标志过滤。例如：

ip.addr == 192.168.10.21 && tcp.port == 502
tcp.flags.syn == 1 && tcp.flags.ack == 0
tcp.analysis.retransmission
mvb || ecat

第一行用于聚焦某设备与某端口的会话；第二行筛出 TCP 连接建立请求（SYN 置位、ACK 未置位），便于统计连接发起次数；第三行利用 Wireshark 的 TCP 分析字段直接筛出重传报文，是判断链路质量的重要手段；第四行则用于同时查看 MVB 与 EtherCAT 相关解析结果（具体协议名以所用解析器为准）。显示过滤器写错时输入框会变红，这是最直接的语法校验反馈。

五、一次完整的搭建与验证示例

假设维护笔记本通过镜像口接入列车控制网，目标设备为 192.168.10.21（端口 502）与 192.168.10.30。操作顺序为：确认网卡与网段 → 选中镜像口并开启混杂模式 → 设置捕获过滤器 host 192.168.10.21 and host 192.168.10.30 → 开始抓包 → 触发一次设备通信 → 停止后用显示过滤器 tcp.port == 502 查看会话。判断成功的依据是：捕获列表中出现双向报文、TCP 三次握手完整、显示过滤器筛选后报文数与预期通信次数量级一致。若捕获列表为空，依次排查镜像口配置、混杂模式、捕获过滤器是否过严；若只有单向报文，则重点检查镜像方向与网卡双工设置。

最后补充一个实践要点：列车网络中的协议解析依赖正确的端口映射。若设备使用非标准端口承载 Modbus TCP 或自定义应用层协议，需在 Wireshark 的“解码为”功能中手动指定协议，否则显示过滤器中的协议字段无法命中。环境搭建完成后，建议先用一次已知的正常通信做基线抓包并保存，后续排障时以基线报文作为对照，能更快识别异常。