Wireshark 入门：它到底是什么？为什么 Socket 调试离不开它？
大家好，我是你们这门课的老朋友。咱们开门见山，先聊聊 Wireshark 这玩意儿。
说白了，Wireshark 就是一个网络抓包工具。它能把你电脑网卡上流过的每一个数据包，原封不动地截下来，然后掰开揉碎了给你看。你写的 Socket 程序发了什么、服务器回了什么、中间有没有丢包、延迟了多少毫秒……全都一目了然。
我刚开始做 Socket 开发那会儿，也觉得自己代码写得挺完美。结果一上线，客户端就是连不上服务器。查日志、看代码，折腾了两天没头绪。后来一个老同事过来，打开 Wireshark 抓了个包，十秒钟就发现问题了——我代码里把端口号写错了。嗯，从那以后，我再也不敢凭感觉调网络程序了。
为什么 Socket 调试需要它？
你想想看，Socket 编程本质上是两个进程在网络上对话。你的代码只是“说”的那一方，但网络中间发生了什么，代码本身是看不见的。比如：
- 你的
send()调用成功了，数据就真的发出去了吗？不一定，可能还在内核缓冲区里排队。 - 服务器
recv()没收到数据，是客户端没发，还是网络丢了，还是服务器处理慢了？ - 三次握手到底完成了没有？四次挥手有没有异常？
这些问题，靠 printf 打日志是看不全的。Wireshark 能让你直接“看到”网络上的每一个字节。我个人习惯是：写 Socket 代码的时候，旁边一定开着 Wireshark。代码跑一遍，抓包看一眼，心里就有底了。
安装与界面初识
安装没什么难度，去官网下载对应系统的版本就行。Windows 下安装时记得勾选“安装 Npcap”，这是抓包依赖的底层驱动。我曾经遇到过有人装完 Wireshark 发现抓不到包，折腾半天发现就是忘了装 Npcap。
装好之后打开，你会看到这个界面：
这个界面分四个区域，从上到下分别是：
| 区域 | 作用 | 我常用的操作 |
|---|---|---|
| 菜单栏 & 工具栏 | 开始/停止抓包、保存文件、打开文件等 | 点那个绿色鲨鱼鳍开始抓包 |
| 显示过滤器 | 输入过滤表达式，只显示你关心的包 | 比如输入 tcp.port==8080 |
| 数据包列表 | 所有抓到的包按时间顺序排列 | 看颜色标记，红色通常是异常包 |
| 数据包详情 | 选中某个包后，展示各层协议头 | 展开 TCP 层看 Seq 和 Ack 号 |
| 原始字节 | 十六进制和 ASCII 形式的原始数据 | 确认应用层数据有没有被篡改 |
第一次抓包：三步上手
别怕，第一次抓包其实就三步：
- 选择网卡：双击你要抓包的网卡（比如“以太网”或“Wi-Fi”）。
- 开始抓包：Wireshark 立刻开始显示所有经过的数据包。你会看到满屏花花绿绿的信息，别慌，这是正常的。
- 停止并过滤：点红色方块停止。然后在过滤器里输入
tcp，按回车，就只看 TCP 包了。
就这么简单。你第一次看到那么多包可能会有点懵，我当年也是。但别急，后面几章我会带你一个一个看懂它们。
本章小结
Wireshark 不是个神秘的工具，它就是个网络版的“监控摄像头”。你写的 Socket 代码在网络上说了什么、对方回了什么，它都给你录下来。学会用它，你的 Socket 调试效率至少提升一倍。