Wireshark诊断TCP连接与传输故障 - 第1节

一、抓包基础：什么是抓包、为什么需要抓包、抓包的原理

1.1 什么是抓包？说白了就是“偷看”网络对话

抓包，专业点叫“网络数据包捕获”。你想想看，两台设备在网络上通信，本质上就是在一来一回地发送数据包。抓包就是在中间某个位置，把这些数据包原封不动地复制一份出来，然后分析里面的内容。

我经常跟团队里的新人打个比方：抓包就像你在电话线上搭个分线器，能听到通话双方在说什么，但不会影响他们正常通话。嗯，这个比喻虽然糙了点，但道理是一样的。

抓包工具干的事，就是把网卡上流经的所有数据包都“截”一份，然后按照 TCP/IP 协议栈的层级，一层层拆开给你看。从最底层的 MAC 地址，到 IP 地址，再到 TCP 端口，最后到应用层的数据内容——全都能看到。

1.2 为什么需要抓包？——我踩过的坑告诉你

说实话，我干了十几年网络，抓包帮我解决过太多诡异问题了。我随便说几个真实场景：

• 应用说“连接超时”——到底是防火墙拦了，还是服务器没响应？看一眼抓包，一目了然。
• 网页加载慢——是 DNS 解析慢，还是 TCP 握手延迟，还是 HTTP 响应体太大？抓包能精确到每个阶段的时间戳。
• 接口返回乱码——是编码问题，还是数据被中间件篡改了？抓包拿到原始报文，谁也别甩锅。
• 协议实现有 Bug——我记得有一次排查一个自定义协议的问题，对方非说自己的实现没问题。我直接甩过去抓包截图，TCP 序列号都乱序了，对方当场闭嘴。

说白了，抓包就是网络世界的“监控录像”。你怀疑谁有问题，调出录像一看，什么都清楚了。

1.3 抓包的原理——网卡混杂模式

这里有个关键概念：网卡混杂模式（Promiscuous Mode）。

正常情况下，网卡只接收目标 MAC 地址是自己的数据包，其他的直接丢掉。但开启混杂模式后，网卡会“来者不拒”，所有经过它的数据包都收进来。

为什么会这样？因为网卡硬件里有个过滤器，默认只放行匹配自己 MAC 地址的帧。混杂模式就是把这个过滤器关掉。抓包工具再配合驱动层的 API（比如 libpcap 或 WinPcap），就能从网卡上源源不断地读取原始数据包。

我画了一张图，帮你理解这个过程：

1.4 常用抓包工具介绍

工具不在多，顺手就行。我这些年主要用三个，各有各的适用场景。

Wireshark——图形化抓包之王

Wireshark 是我日常用得最多的工具。它把抓包和分析做成了图形界面，过滤、统计、追踪流、协议解析，功能非常全。

我个人习惯用它的几个核心功能：

• 显示过滤器：比如输入 tcp.port == 80，只显示 HTTP 流量。这个过滤器语法比 tcpdump 直观很多。
• 追踪 TCP 流：右键一个 TCP 包，选“Follow TCP Stream”，就能看到完整的应用层对话内容。排 HTTP 问题特别方便。
• 专家信息：Wireshark 会自动分析异常，比如重传、乱序、窗口满等，用颜色和图标标出来。

tcpdump——命令行利器

tcpdump 是 Linux 服务器上的标配。没有图形界面？没关系，一条命令搞定。

我记得有一次线上出问题，服务器 SSH 都连不上了。我让同事在机房用带外管理卡登录，跑了一条 tcpdump 命令，把结果重定向到文件，然后 scp 出来用 Wireshark 分析。要是没有 tcpdump，这种场景根本没法抓包。

常用命令示例：

# 抓取 eth0 网卡上 80 端口的流量，保存到文件
tcpdump -i eth0 -w http.pcap port 80

# 抓取并实时显示，只显示前 100 个包
tcpdump -i eth0 -c 100 -nn

# 抓取特定主机的流量
tcpdump -i eth0 host 192.168.1.100

Fiddler——HTTP/HTTPS 调试神器

Fiddler 跟 Wireshark 不太一样。它是个 HTTP/HTTPS 代理，专门抓应用层的 Web 流量。你配置浏览器或 App 把代理指向 Fiddler，它就能看到所有 HTTP 请求和响应。

Fiddler 的强项在于：

• HTTPS 解密：安装 Fiddler 的根证书后，它可以做中间人解密，看到 HTTPS 的明文内容。
• 请求修改：可以在请求发出前或响应返回前修改数据，用来测试各种边界情况。
• 性能分析：能看到每个请求的耗时、大小、缓存命中情况。

不过要记住，Fiddler 只抓 HTTP/HTTPS 流量。如果你要分析 TCP 握手、DNS 查询、非 HTTP 协议，还是得用 Wireshark 或 tcpdump。

工具对比一览