环境搭建：Wireshark、OmniPeek 与抓包网卡的选择

做 WiFi 抓包分析，工具选不对，后面全白费。这不是夸张，我见过太多人拿着普通网卡折腾半天，啥也抓不到，最后跑来问我「为什么我的 Wireshark 看不到 Beacon 帧？」——嗯，答案很简单：你的网卡压根没进监听模式。

这一章，咱们就把环境搭明白。我会把 Wireshark、OmniPeek 和抓包网卡这三样东西讲透，包括它们各自的脾气、搭配方式，以及我踩过的坑。

Wireshark：免费但够用

Wireshark 是抓包界的瑞士军刀。免费、开源、社区活跃，几乎支持所有你能想到的协议解析。对于 WiFi 配网广播丢包分析，它完全能胜任。

但有个前提——你得配一块合适的网卡。Wireshark 本身不负责抓包，它只是个解析和展示工具。真正干活的是底层的抓包驱动和网卡硬件。

安装时记得勾选 Npcap（Windows 下）或安装 libpcap（Linux/macOS 下）。这是抓包的底层引擎，少了它 Wireshark 就是个空壳。

OmniPeek：专业但收费

OmniPeek 是 WildPackets（现属 Savvius）的产品，说白了就是抓包界的「专业单反」。它比 Wireshark 强在哪？我列几个关键点：

• 多信道同时抓包：Wireshark 一次只能盯一个信道，OmniPeek 配合专用硬件可以同时抓 2.4G 和 5G 的所有信道。配网广播丢包经常发生在信道切换瞬间，这个能力很关键。
• 协议解码更直观：特别是 802.11 管理帧、控制帧的解析，OmniPeek 的树形结构比 Wireshark 更清晰。我记得第一次用 OmniPeek 看 Probe Request 帧，一眼就找到了厂商信息元素，而在 Wireshark 里得翻好几层。
• 专家分析系统：它会自动标记异常，比如重传率过高、CRC 错误、隐藏节点冲突等。对于配网丢包这种问题，它能帮你快速定位是「没收到」还是「收到了但坏了」。

但 OmniPeek 不便宜，一套许可几千美金。我个人建议：预算充足、做深度 WiFi 分析时用 OmniPeek；日常调试、学习用 Wireshark 完全够。

抓包网卡：核心中的核心

这是整个环境搭建里最容易翻车的地方。你想想看，普通 WiFi 网卡是给上网用的，它只收发给自己的数据。而抓包需要的是「监听模式」（Monitor Mode），把空中所有帧都收下来，不管是不是发给你的。

所以，选网卡有几个硬指标：

• 必须支持监听模式：这是底线。Atheros、Ralink、Realtek 的某些芯片可以，Broadcom、Intel 的很多型号不行。
• 支持 802.11 监控模式下的帧注入：如果你要做主动探测（比如发送 Probe Request 触发配网设备响应），这个功能必须有。
• USB 接口，外置天线：内置网卡天线在笔记本内部，屏蔽严重。外置 USB 网卡加一根 5dBi 天线，信号质量好很多。

我推荐几款经过验证的网卡：

环境搭建流程

我一般按这个步骤来，很少出问题：

1. 装 Wireshark（或 OmniPeek，看你预算）
2. 插上 USB 抓包网卡，装对应驱动（Linux 下通常免驱）
3. 把网卡切到监听模式：

   # Linux 下用 iw 命令
   sudo ip link set wlan0 down
   sudo iw dev wlan0 set type monitor
   sudo ip link set wlan0 up

   Windows 下用 Wireshark 的「捕获选项」里选择网卡，勾上「监听模式」即可。

4. 验证是否成功：打开 Wireshark，开始抓包。如果能抓到 Beacon 帧、Probe Request 等管理帧，说明监听模式生效了。如果只看到零星的数据包，大概率网卡不支持。

知识体系总览

下面这张图把本章的核心逻辑串起来了。你可以看到，抓包网卡是底层硬件基础，Wireshark 和 OmniPeek 是上层工具，它们之间通过驱动和抓包引擎协作。

说白了，这三层缺一不可。底层网卡不行，上层工具再强也白搭。我见过有人花大价钱买了 OmniPeek 授权，结果用笔记本自带网卡抓包，跑来问我为什么看不到 Probe Request——嗯，网卡不支持监听模式，OmniPeek 也救不了你。