抓包原理与配置：网卡工作模式、混杂模式、本地回环抓包、抓包过滤器配置
说实话，很多刚接触 Wireshark 的朋友，上来就直接点开网卡开始抓。抓了半天，发现要么啥都抓不到，要么抓到一堆看不懂的东西。嗯，这其实不是工具的问题，是你还没搞懂抓包的基本原理。
这一章，我就带你把这些基础打扎实。网卡怎么工作的？混杂模式是干嘛的？本地回环流量怎么抓？还有那个最常用的抓包过滤器，到底该怎么写？搞明白这些，你才算真正入了抓包的门。
网卡的工作模式：你抓到的只是冰山一角
先说说网卡。你电脑上的网卡，默认情况下只做一件事——接收发给自己的数据包。其他包？直接扔掉。这叫非混杂模式，也叫正常模式。
为什么会这样？因为网卡硬件层面就做了过滤。每个以太网帧都有目标 MAC 地址，网卡会拿这个地址跟自己比对。匹配上了，才交给上层处理。不匹配？物理层就丢弃了，CPU 根本不知道有这回事。
我在项目中遇到过一种情况：两个服务器之间通信出了问题，我在交换机上做了端口镜像，把流量引到我的笔记本上。结果打开 Wireshark 一看，啥都没有。折腾了半天才想起来——笔记本网卡默认是非混杂模式，它只收自己的包。镜像过来的流量目标 MAC 不是它，全被网卡挡在门外了。
混杂模式：抓包的核心开关
说白了，混杂模式就是让网卡放弃硬件过滤。不管目标 MAC 是不是自己，统统收上来交给 CPU。这样 Wireshark 才能看到经过这块网卡的所有流量。
你想想看，如果没有混杂模式，你在交换机上做端口镜像就毫无意义。镜像过来的包目标 MAC 又不是你的网卡，网卡直接扔了，你抓个寂寞。
怎么确认混杂模式有没有开启？很简单：
- 在 Wireshark 的捕获接口列表里，每个接口后面有个"混杂"列。显示"已启用"就对了。
- Linux 下可以用
ip link show查看，PROMISC 标志出现就说明开启了。 - Windows 下可以在网卡属性里看 Npcap 的选项，或者用
getmac /v配合驱动信息确认。
本地回环抓包：最容易被忽略的流量
这个问题我几乎每次培训都会有人问："我在本机跑了一个 Web 服务，用 localhost 访问，为什么 Wireshark 抓不到？"
答案很简单：回环流量不经过物理网卡。数据从应用层到传输层，然后直接通过虚拟的回环接口（Loopback）回到本机。物理网卡根本没参与，你当然抓不到。
Windows 上，你需要安装 Npcap 时勾选"支持回环抓包"。Linux 和 macOS 就好办多了，直接选 lo 接口就能抓。
我记得有一次帮一个同事排查本机数据库连接问题。他抓了半天物理网卡，啥都没抓到。我过去看了一眼，说："你连的是 localhost 吧？"他一脸懵。我让他切到回环接口，不到 10 秒就看到了完整的 TCP 三次握手和 SQL 查询报文。
- 本机到本机的流量（127.0.0.1 或 ::1）走的是回环接口，不是物理网卡。
- Windows 下必须安装 Npcap 并开启回环支持，否则抓不到。
- Linux/macOS 直接选 lo 接口即可。
- 如果本机通过真实 IP（如 192.168.1.100）访问本机，流量会走物理网卡，但实际还是内部处理，不一定能抓到。
抓包过滤器：别让垃圾流量淹死你
打开 Wireshark 直接开始抓，你会看到什么？一堆广播、一堆 ARP、一堆乱七八糟的背景流量。真正想看的报文淹没在里面，找都找不到。
这时候就需要抓包过滤器了。它是在数据进入 Wireshark 之前就做过滤，不符合规则的包根本不会被捕获。这跟显示过滤器是两码事——显示过滤器只是把抓到的包藏起来，但包已经进了内存。
抓包过滤器用的是 BPF（Berkeley Packet Filter）语法。说白了就是一套非常精简的表达式，告诉内核：哪些包我要，哪些包我不要。
BPF 语法核心要素
| 类型 | 关键字 | 示例 | 说明 |
|---|---|---|---|
| 主机 | host | host 192.168.1.1 |
匹配源或目标 IP 为 192.168.1.1 |
| 网络 | net | net 192.168.0.0/16 |
匹配整个网段 |
| 端口 | port | port 80 |
匹配源或目标端口为 80 |
| 协议 | tcp/udp/icmp | tcp |
匹配指定协议 |
| 方向 | src/dst | src host 10.0.0.1 |
限定源或目标 |
常用组合示例
我个人习惯在抓包前就把过滤器写好，而不是抓完再用显示过滤器。这样能大幅减少抓包文件的大小，尤其是抓大流量的时候。
# 只抓 HTTP 流量
tcp port 80
# 抓特定主机的所有流量
host 192.168.1.100
# 抓 DNS 查询和响应
udp port 53
# 抓除了 SSH 之外的所有流量
not tcp port 22
# 抓特定网段的 HTTP 和 HTTPS
net 10.0.0.0/8 and (tcp port 80 or tcp port 443)
# 抓 ICMP 且只抓目标为某个 IP 的
icmp and dst host 8.8.8.8udp port 67 or udp port 68，一下子就看到了 DHCP Discover 到了服务器，但 Offer 没发出去。原来是服务器上的 dhcpd 服务挂了。如果没有这个过滤器，我得从几万个包里翻出那几条 DHCP 报文，想想都头疼。
抓包过滤器 vs 显示过滤器
很多新手搞混这两个概念。我简单给你理一下：
| 对比项 | 抓包过滤器 | 显示过滤器 |
|---|---|---|
| 作用时机 | 抓包前，数据还没进 Wireshark | 抓包后，数据已经在 Wireshark 里 |
| 语法 | BPF（Berkeley Packet Filter） | Wireshark 自己的显示过滤语法 |
| 性能影响 | 减少抓包数据量，节省内存和磁盘 | 只影响显示，不减少已抓数据 |
| 灵活性 | 较低，只能做简单过滤 | 极高，可以按字段、按值、按表达式 |
| 典型场景 | 大流量环境，只抓感兴趣的协议 | 分析阶段，从已抓数据中精确筛选 |
我的建议是：抓包时用抓包过滤器做粗筛，分析时用显示过滤器做精筛。两者配合使用，效率最高。
本章知识体系
下面这张图把本章的核心逻辑串起来了。你可以把它当作一个思维导图来看：
避坑指南
最后，分享几个我踩过的坑，你遇到了能少走弯路：
- 虚拟化环境要小心：我曾经在 VMware 虚拟机里抓包，发现混杂模式怎么都开不起来。后来查了才知道，虚拟交换机的安全策略默认禁止混杂模式，得去 vSphere 里手动开启。
- 无线网卡的局限：无线网卡的混杂模式跟有线不一样。很多无线网卡驱动不支持抓取其他客户端的流量，即使开了混杂模式也只能看到自己的包和广播包。想抓无线空口流量？得上专门的抓包网卡。
- 抓包过滤器写错了不会报错：Wireshark 不会告诉你 BPF 语法写错了。它只会默默地把所有包都丢掉，让你以为网络没流量。我见过有人写
tcp port 80 and udp port 53，以为能同时抓 HTTP 和 DNS，结果一个包都抓不到——因为一个包不可能同时是 TCP 和 UDP。正确的写法是tcp port 80 or udp port 53。 - 回环抓包在 Windows 上的坑：如果你用的是 Npcap 的老版本，回环抓包可能不稳定。我建议升级到最新版，并且在安装时确保勾选了"Support loopback traffic"。如果已经装了没勾选，重装一次就行。