Wireshark 入门：安装、界面与过滤器
说实话，很多网络工程师的职业生涯，都是从双击 Wireshark 图标开始的。我也不例外。记得我第一次用它抓包，是在一个深夜割接现场——业务死活不通，交换机配置看了三遍都没问题。最后打开 Wireshark 一抓，发现是 ARP 回应被防火墙拦截了。那一刻我就明白了：这工具，是网络人的听诊器。
这一章，咱们就把 Wireshark 的安装、界面布局、首选项配置，还有最重要的捕获过滤器和显示过滤器，一次性讲透。你跟着我走一遍，后面实战章节就能直接上手。
1. 安装与平台选择
Wireshark 支持 Windows、macOS 和 Linux。我个人习惯在 Windows 上用，但 Linux 下做深度分析更顺手。
| 平台 | 安装方式 | 注意事项 |
|---|---|---|
| Windows | 官网下载 .exe，一路 Next | 安装时会提示安装 Npcap，必须勾选，否则抓不到包 |
| macOS | brew install --cask wireshark |
需要安装 ChmodBPF，否则非 root 用户无法抓包 |
| Linux (Ubuntu/Debian) | sudo apt install wireshark |
安装过程中会问是否允许非 root 用户抓包，选 Yes |
避坑指南：我曾经在 Windows 上装完 Wireshark 发现抓不到包，折腾了半天，最后发现是 Npcap 没装。如果你用的是 WinPcap，建议换成 Npcap，兼容性更好，还支持 Win10/Win11 的 WinDivert 驱动。
2. 界面布局：别被密密麻麻的窗口吓到
第一次打开 Wireshark，你可能会觉得眼花缭乱。别慌，核心就四个区域。我带你捋一遍：
- 工具栏与主菜单：最上面一排，开始/停止抓包、保存、打开文件都在这里。
- 过滤器工具栏：输入显示过滤器的地方。这是你日常用得最多的区域。
- 数据包列表区：中间上半部分，每一行就是一个数据包。默认显示编号、时间、源地址、目的地址、协议、长度和信息。
- 数据包详情区：中间下半部分，选中某个包后，这里会分层展开协议字段。比如 TCP 的源端口、序列号、标志位，都能看到。
- 数据包字节区：最下面，十六进制和 ASCII 双栏显示原始字节。调试协议细节时用得上。
我的习惯：我会把数据包列表区拉大一点，详情区缩小。因为大部分时间我都在看列表和过滤器，只有确认具体字段时才看详情。你试试看，效率会高很多。
3. 首选项配置：让工具更顺手
Wireshark 默认配置够用，但有些设置我建议你改一下。路径是 Edit → Preferences。
| 配置项 | 推荐值 | 为什么改 |
|---|---|---|
| Layout → Packet List | 勾选 "Display time of day" | 默认显示相对时间，排查问题时你更想知道"这个包是几点几分发的" |
| Protocols → TCP | 勾选 "Allow subdissector to reassemble TCP streams" | HTTP、FTP 等应用层协议需要 TCP 重组才能看到完整请求 |
| Name Resolution | 勾选 "Resolve MAC addresses" 和 "Resolve network (IP) addresses" | 方便看设备名，但注意：生产环境建议关掉，避免 DNS 查询干扰抓包 |
小技巧：如果你经常分析 HTTP/HTTPS，可以在 Preferences → Protocols → HTTP 里设置 "SSL/TLS debug file"，方便调试 TLS 握手。不过这是进阶用法，咱们后面章节会细讲。
4. 捕获过滤器 vs 显示过滤器：别搞混了
这是新手最容易踩坑的地方。我直接说结论：
- 捕获过滤器：在抓包之前设置，只抓符合条件的包。语法是 BPF（Berkeley Packet Filter），简单但功能有限。
- 显示过滤器：在抓包之后设置，从已抓到的包里筛选出你想要的。语法是 Wireshark 自己的表达式，功能强大，支持协议字段。
说白了，捕获过滤器是"门卫"，只放行特定流量进来；显示过滤器是"筛子"，从已经进来的流量里挑出你要的。
4.1 捕获过滤器常用语法
捕获过滤器写在 Capture → Options 的输入框里，或者工具栏旁边的绿色按钮。语法基于 BPF，支持以下常见表达式：
# 只抓 HTTP 流量（TCP 80 端口）
tcp port 80
# 只抓来自 192.168.1.1 的流量
src host 192.168.1.1
# 只抓去往 10.0.0.1 的流量
dst host 10.0.0.1
# 抓整个子网
net 192.168.1.0/24
# 排除 ARP 流量
not arp
# 组合条件：来自 192.168.1.1 且端口是 443
src host 192.168.1.1 and tcp port 443
注意：捕获过滤器不支持协议字段，比如你不能写
tcp.flags.syn == 1。想用这种条件，必须用显示过滤器。我曾经在排查 TCP 重传时，想用捕获过滤器只抓 SYN 包，结果发现根本写不了——这就是捕获过滤器的局限性。
4.2 显示过滤器常用语法
显示过滤器写在工具栏下方的输入框里，输入时会有语法提示，非常友好。常用表达式：
# 只显示 HTTP 流量
http
# 只显示 TCP 端口 443 的流量
tcp.port == 443
# 只显示源 IP 为 192.168.1.1 的流量
ip.src == 192.168.1.1
# 只显示 TCP SYN 包（三次握手的第一个包）
tcp.flags.syn == 1 and tcp.flags.ack == 0
# 只显示 HTTP 请求方法为 GET 的包
http.request.method == "GET"
# 组合条件：来自 192.168.1.1 且是 DNS 查询
ip.src == 192.168.1.1 and dns.flags.response == 0
# 排除某些 IP
!ip.addr == 10.0.0.1
我的经验：显示过滤器支持自动补全。你输入
tcp. 后，Wireshark 会弹出所有 TCP 字段列表。多试试，你会发现它比 BPF 灵活得多。我平时 90% 的时间都在用显示过滤器，捕获过滤器只在流量特别大时才用。
5. 知识体系：一张图看懂 Wireshark 入门
下面这张图总结了本章的核心逻辑。你保存下来，后面实战时随时对照。
6. 实战小练习：抓一个 HTTP 包试试
光说不练假把式。你现在就可以跟着做：
- 打开 Wireshark，选择你的网卡（通常是以太网或 Wi-Fi），双击开始抓包。
- 打开浏览器，访问一个 HTTP 网站（比如
http://example.com）。 - 回到 Wireshark，点击红色方块停止抓包。
- 在过滤器输入框里输入
http，回车。你会看到所有 HTTP 请求和响应。 - 选中一个 GET 请求，在详情区展开 Hypertext Transfer Protocol，看看请求行和头部字段。
你看到了什么？ 一个 HTTP GET 请求包含请求方法、URI、Host、User-Agent 等字段。响应则包含状态码（比如 200 OK）、Content-Type、Content-Length 等。这些字段在后续章节的协议分析中会反复出现。
嗯，这一章的内容就到这里。Wireshark 的安装、界面、首选项和过滤器，是后续所有抓包分析的基础。你先把这些操作练熟，后面咱们就开始真正的协议栈实战了。