抓包基础：从零开始理解网络排错的“显微镜”

大家好，我是老张。干网络排错这行十几年了，要说最趁手的工具，抓包绝对排第一。今天咱们就聊聊抓包基础——说白了，就是让你能“看见”网络里到底在传什么。

你想想看，网络出问题的时候，就像两个人在吵架，你光看表情猜原因，不如直接听他们说了什么。抓包就是这个道理。

抓包，专业点叫“数据包捕获”。就是把网线上跑的那些二进制数据，原封不动地截下来，然后解析成我们能看懂的样子。

我习惯这么跟新人解释：抓包就像给网络装了个“录音笔”。它不修改任何数据，只是忠实地记录下每一帧的来龙去脉。

核心要点：抓包是被动监听，不是主动攻击。它只“看”不“动”，所以对网络本身没有影响。

很多朋友问我：“ping 一下通不就行了？干嘛要抓包？”嗯，这里要注意——ping 通只代表 ICMP 协议通了，不代表你的业务正常。

我在项目中遇到过好几次：客户说“网络没问题，ping 网关都通”，结果一抓包，发现 HTTP 请求发出去后，服务器回了 RST 包。这就是典型的应用层问题，ping 根本看不出来。

总结下来，抓包能帮你解决这几类问题：

我的经验：遇到网络问题，先抓包再看日志。日志是“当事人说的”，抓包是“监控录像”——哪个更可信，你懂的。

抓包到底是怎么做到的？其实原理不复杂。网卡收到数据后，正常情况下只会把发给自己的数据交给操作系统。但抓包工具会让网卡进入混杂模式——不管是不是发给自己的，统统收上来。

流程大概是这样的：

为什么会用到 BPF？因为不设过滤的话，流量大的时候你根本看不过来。我曾经在数据中心抓包，没设过滤，结果 10 秒就抓了 2GB——全是广播包。

工欲善其事，必先利其器。市面上抓包工具不少，但我常用的就三个。每个都有自己的看家本领。

Wireshark 是我用得最多的工具。它支持几百种协议解析，从 TCP/IP 到 HTTP、DNS、SSL，几乎全覆盖。

我记得刚入行那会儿，遇到一个诡异的问题：客户端连服务器总是断断续续。用 Wireshark 一抓，发现 TCP 窗口大小经常突然变成 0。查了半天，原来是服务器端的接收缓冲区太小。这种问题，不用 Wireshark 根本想不到。

小技巧：Wireshark 的过滤表达式是核心技能。比如 tcp.port == 80 只看 HTTP 流量，ip.addr == 192.168.1.1 只看某个 IP。学会过滤，效率翻倍。

tcpdump 是命令行工具，没有图形界面。但它在 Linux 服务器上几乎是标配。你想想看，生产环境哪有图形界面给你用？

我习惯用 tcpdump 做远程抓包。SSH 到服务器上，一行命令搞定：

# 抓取 eth0 网卡上 80 端口的流量，保存到文件
tcpdump -i eth0 -w capture.pcap port 80

# 实时查看，只显示前 100 个包
tcpdump -i eth0 -c 100 -nn port 443

抓完的文件用 Wireshark 打开分析，完美配合。

避坑指南：我曾经在线上服务器直接跑 tcpdump 没加过滤条件，结果把磁盘写满了。记住：生产环境抓包一定要加过滤规则，并且限制抓包大小。用 -C 100 参数限制每个文件 100MB，用 -W 5 限制最多 5 个文件。

Fiddler 跟前面两个不太一样。它是个 HTTP/HTTPS 代理，专门用来调试 Web 应用。它能解密 HTTPS 流量，还能在请求发出前修改数据包。

有一次前端同事说“接口返回的数据不对”，后端说“我这边没问题”。我打开 Fiddler 一看，原来是前端发请求时，Content-Type 写错了，服务器解析失败。这种问题，Fiddler 一眼就能看出来。

Fiddler 的核心功能：

一句话总结：Wireshark 看全貌，tcpdump 抓服务器，Fiddler 调 Web。三个工具配合使用，基本能覆盖 90% 的网络排错场景。