📚 课程目录第2章选择正确网卡并捕获首个数据包

2. 选择正确网卡并捕获首个数据包

Wireshark 启动捕获前必须绑定一个网络接口。同一台主机上通常同时存在物理网卡、虚拟网卡和回环接口，它们承载的流量完全不同。选错接口，最常见的现象是“捕获窗口一片空白”或“只看到本机自言自语”，而不是工具故障。

物理网卡：如 以太网、WLAN，承载真实链路上的进出流量，是排查局域网/互联网问题的首选。
虚拟网卡：如 VMware/VirtualBox 的 VMnet1、VMnet8、Hyper-V 虚拟交换机，只承载虚拟机与宿主/虚拟网络之间的流量。
回环接口：Windows 显示为 Adapter for loopback traffic capture（Npcap 提供），Linux 为 lo，只承载本机进程间通信（如 127.0.0.1）。

判断口诀：要抓“上网/局域网”流量选物理网卡；要抓“本机服务互访”选回环；要抓“虚拟机通信”选对应虚拟网卡。不确定时，先看接口的实时流量曲线——有波动的那块通常就是当前活跃接口。

打开 Wireshark 后，欢迎界面会列出所有可用接口，每个接口右侧有实时流量曲线。先观察哪块接口有波动，再结合上面的判断路径选择。以下以抓取物理网卡上的首个数据包为例。

若捕获窗口长时间空白：先确认选中的接口是否正确（是否误选了无流量的虚拟网卡或回环），再确认是否真的产生了流量。不要急于怀疑权限或驱动问题。

保存后重新打开 first_capture.pcap，确认数据包列表非空，且能看到至少一条完整帧。若使用命令行，可用 capinfos first_capture.pcap 查看包数量与文件信息，作为捕获成功的客观依据。