3. Wireshark 环境搭建：工欲善其事，必先利其器

做网络分析，Wireshark 就是咱们的「手术刀」。我见过不少同事，抓包命令背得滚瓜烂熟，结果一打开 Wireshark 界面就懵了——满屏花花绿绿的包，根本不知道从哪看起。

说白了，工具用得顺手，排障效率能翻倍。这一章咱们就把环境搭好，把几个核心配置讲透。

3.1 下载与安装：别踩这些坑

Wireshark 的下载地址其实就一个：wireshark.org。我个人习惯直接去官网下载，第三方站点有时候会捆绑一些乱七八糟的东西。

安装过程有几个关键点，我列个清单：

1. 选择组件：默认勾选就行，但注意 USBPcap 如果你不需要抓 USB 流量，可以取消。
2. WinPcap / Npcap：Windows 下必须装一个。现在官方推荐 Npcap，性能更好，而且支持 Loopback 抓包。安装时记得勾选「Install Npcap in WinPcap API‑compatible Mode」。
3. 重启：装完 Npcap 建议重启一次，否则可能找不到网卡。

安装完成后，打开 Wireshark，你应该能看到类似这样的界面：

Wireshark 4.2.0 (v4.2.0)
Interface list:
  - \Device\NPF_{...} (以太网)
  - \Device\NPF_{...} (WLAN)
  - \Device\NPF_{...} (Loopback Pseudo-Interface)

如果列表是空的，大概率是 Npcap 没装好。去设备管理器看看网络适配器，有没有「Npcap Packet Driver」这个设备。

3.2 抓包过滤器：只抓你想要的

你想想看，生产环境下一秒钟可能成千上万个包。如果不加过滤，Wireshark 直接卡死。抓包过滤器的作用，就是在抓包之前就把不相关的流量扔掉。

设置位置在捕获界面顶部的输入框，或者通过菜单 Capture → Options 选择网卡后输入。

语法用的是 BPF（Berkeley Packet Filter），我常用的几个：

3.3 显示过滤器：抓完再筛

抓包过滤是「硬过滤」，抓完就没了。显示过滤器是「软过滤」，数据还在，只是隐藏了不符合条件的包。这个在排查时特别有用——你可以随时切换视角。

输入框是绿色的，如果语法正确会保持绿色，错误会变红色。嗯，这里要注意：显示过滤器的语法和抓包过滤器完全不同，别搞混了。

常用显示过滤器：

3.4 着色规则：一眼看出异常

Wireshark 默认会给不同协议上色，但咱们做 TCP 分析，需要自定义一些规则。比如把重传标红，把 SYN 标蓝，这样扫一眼就能发现问题。

设置路径：View → Coloring Rules。我一般会加这么几条：

设置好之后，抓包界面会变成这样：

No.  Time          Source          Destination     Protocol  Info
  1  0.000000      10.0.0.1        10.0.0.2        TCP       0 → 80 [SYN] Seq=0 Win=65535
  2  0.001234      10.0.0.2        10.0.0.1        TCP       80 → 0 [SYN, ACK] Seq=0 Ack=1 Win=65535
  3  0.002345      10.0.0.1        10.0.0.2        TCP       0 → 80 [ACK] Seq=1 Ack=1 Win=65535
  ...
 45  1.234567      10.0.0.1        10.0.0.2        TCP       [TCP Retransmission] 0 → 80 [SYN] Seq=0

你看，第 1 行是蓝色，第 2 行是绿色，第 45 行是红色。一眼就能看出三次握手正常，但后面有一次重传。

3.5 本章知识体系：一张图看懂

下面这张图把 Wireshark 环境搭建的核心逻辑串起来了。从下载安装开始，到抓包过滤、显示过滤、着色规则，每一步都是为了让你更快地定位问题。

这张图其实也是我平时排查问题的思考路径：先装好工具，然后用抓包过滤器缩小范围，抓完用显示过滤器精确定位，最后靠着色规则一眼看出异常。每一步都踩过坑，希望你能一次走通。