Wireshark 入门：从安装到第一次抓包
说实话，我见过太多工程师遇到网络问题就两眼一抹黑，全靠猜。其实 Wireshark 就是你的「网络听诊器」。这一章，咱们把它装好、跑起来，再抓个包看看。
1. 安装 Wireshark：别踩这些坑
Wireshark 的安装本身不复杂，但有几个细节不注意，后面会折腾半天。
Windows 安装要点
- 下载地址：去官网 wireshark.org，别去第三方下载站。我见过有人下到捆绑了广告的版本。
- 安装 Npcap：安装过程中会提示安装 Npcap（抓包驱动）。一定要勾选「Install Npcap in WinPcap API-compatible Mode」。这是很多新手卡住的地方——没装这个，Wireshark 根本抓不到包。
- 管理员权限：安装完后，第一次启动记得右键「以管理员身份运行」。否则可能看不到网卡列表。
macOS / Linux 安装
- macOS：用 Homebrew 安装最省事：
brew install wireshark。然后还需要安装 ChmodBPF 才能让普通用户抓包。 - Linux：
sudo apt install wireshark（Debian/Ubuntu）。安装时会问是否允许非 root 用户抓包，选「是」。我个人习惯把用户加到 wireshark 组里，省得每次 sudo。
⚠️ 我曾经踩过的坑：有一次在 Windows 上装完 Wireshark，死活抓不到包。折腾了半小时，发现是 Npcap 没装好。卸载重装，勾上兼容模式，立刻好了。所以这一步千万别跳过。
2. 界面介绍：别被密密麻麻的窗口吓到
第一次打开 Wireshark，你可能会觉得眼花缭乱。别慌，核心就三个区域。
我画了张图，帮你快速建立整体认知：
说白了，你平时主要盯着③④⑤这三个区域。上面①和②是操作区。
3. 捕获过滤器 vs 显示过滤器：本质区别
这是新手最容易混淆的地方。我直接给你一个对比表，看完就明白：
| 对比维度 | 捕获过滤器 | 显示过滤器 |
|---|---|---|
| 作用时机 | 抓包之前 | 抓包之后 |
| 核心逻辑 | 决定「抓不抓」这个包 | 决定「显不显示」这个包 |
| 语法 | BPF（Berkeley Packet Filter） | Wireshark 自己的显示过滤语法 |
| 性能影响 | 高流量场景下能大幅降低 CPU 负载 | 不影响抓包，只影响查看 |
| 典型例子 | host 192.168.1.1 |
ip.addr == 192.168.1.1 |
| 能否恢复 | 不能。没抓到的包永远丢失 | 能。随时修改过滤条件重新显示 |
💡 我的建议：除非你明确知道要抓什么（比如只抓 DNS 流量），否则尽量少用捕获过滤器。我一般先全量抓，再用显示过滤器慢慢分析。万一漏了关键包，你哭都来不及。
4. 第一个抓包实验：分析 ping 包
理论说完了，咱们动手。ping 是最简单的网络测试工具，也是学习抓包的最佳起点。
实验步骤
- 启动 Wireshark，选择你正在上网的网卡（通常是以太网或 Wi-Fi），双击开始抓包。
- 打开命令行（Windows 用 cmd，macOS/Linux 用终端），输入：
ping 8.8.8.8（Google 的 DNS 服务器）。 - 等 ping 跑 4-5 次后，按 Ctrl+C 停止 ping，然后回 Wireshark 点红色方块停止抓包。
- 在显示过滤器输入框里输入
icmp，回车。你会看到只显示 ICMP 协议的包。
看懂这些包
你会看到类似这样的内容：
No. Time Source Destination Protocol Info
1 0.000000 192.168.1.10 8.8.8.8 ICMP Echo (ping) request
2 0.015234 8.8.8.8 192.168.1.10 ICMP Echo (ping) reply
3 1.001234 192.168.1.10 8.8.8.8 ICMP Echo (ping) request
4 1.016789 8.8.8.8 192.168.1.10 ICMP Echo (ping) reply点开任意一个包，在 Packet Details 区域展开 ICMP 部分，你会看到：
- Type：8 表示请求（Echo request），0 表示回复（Echo reply）。
- Code：通常为 0。
- Identifier 和 Sequence Number：用来匹配请求和回复。同一个 ping 进程的 Identifier 相同，Sequence Number 递增。
🔍 一个小技巧：如果你发现只有请求没有回复，说明网络不通。如果回复的 Time 值很大（比如超过 100ms），说明网络延迟高。我曾经帮一个客户排查「游戏卡顿」问题，就是通过 ping 包发现延迟从 20ms 跳到了 300ms，最后定位到是 Wi-Fi 干扰。
常见问题排查
| 现象 | 可能原因 | 下一步操作 |
|---|---|---|
| 抓不到任何包 | 选错了网卡，或 Npcap 没装好 | 检查网卡列表，重新安装 Npcap |
| 只看到请求，没回复 | 目标不可达，或被防火墙拦截 | 检查防火墙规则，或换个目标 IP 试试 |
| 显示过滤器输入后没反应 | 语法错误（比如用了 == 但写成了 =） | Wireshark 会高亮错误语法，注意看输入框颜色 |
嗯，到这里你已经完成了第一次抓包。别看只是简单的 ping，它背后的 ICMP 协议、请求-回复模型、以及 Wireshark 的基本操作，都是后面所有排错技巧的基础。把这个实验跑通，后面的路就好走了。