1. Wireshark 入门：抓包原理、界面布局、首选项配置、捕获过滤器基础
说实话，很多刚入行的朋友一上来就问我：「Wireshark 怎么装？怎么抓包？」。但我觉得，在点开那个鲨鱼图标之前，你得先搞清楚一件事——它到底是怎么把网络里的「悄悄话」给偷听来的。
我见过太多人，抓了一堆包，结果全是自己的广播流量，连目标主机的影子都没看到。为什么？因为连抓包原理都没搞明白。这一章，咱们就把地基打牢。
1.1 抓包原理：网卡到底在干什么？
Wireshark 抓包，说白了就是让网卡进入一种「偷听模式」。正常情况下，网卡只接收发给自己的数据帧。但一旦开启混杂模式，网卡就会把经过它的所有帧都收上来。
核心要点：Wireshark 本身不发送任何数据包，它只是一个被动的「窃听器」。它依赖 WinPcap / Npcap / libpcap 这些底层库，从网卡驱动层面把原始数据帧拷贝一份上来。
我当年在数据中心排查一个丢包问题，抓了半天没抓到关键包。后来才发现，交换机端口根本没做端口镜像，我抓到的只是自己那台机器的流量。嗯，这里要注意——Wireshark 只能看到到达本机网卡的数据。跨交换机、跨路由器的流量，你得靠端口镜像（SPAN）或者 TAP 分路器才能抓到。
| 抓包模式 | 网卡行为 | 典型场景 |
|---|---|---|
| 普通模式 | 只接收目的 MAC 为本机的帧 | 日常上网 |
| 混杂模式 | 接收所有经过网卡的帧 | Wireshark 抓包、网络监控 |
| 监控模式（无线） | 接收所有无线信道上的 802.11 帧 | Wi-Fi 问题排查 |
避坑指南：我曾经在虚拟机里抓包，发现怎么都抓不到外网流量。折腾了半天，原来虚拟网卡默认工作在 NAT 模式下，混杂模式根本不起作用。解决办法：把虚拟机网卡改成桥接模式，或者直接在宿主机上抓。
1.2 界面布局：别被密密麻麻的列表吓到
第一次打开 Wireshark，你可能会觉得眼花缭乱。别慌，我带你拆解一下。其实就三大块：
- 数据包列表窗格（上半部分）：显示每个包的编号、时间、源/目的地址、协议、长度、Info 摘要。这是你第一眼看到的东西。
- 协议树窗格（左下）：选中一个包后，这里会展开它的协议层级。从物理层到应用层，一层层剥开给你看。
- 原始字节窗格（右下）：十六进制 + ASCII 的原始数据。说实话，日常排查我很少看这里，除非要分析应用层 payload。
我个人习惯，一上来先把时间列改成「相对时间（Seconds Since Beginning of Capture）」。为什么？因为排查延迟问题时，一眼就能看出两个包之间的时间差，不用自己拿计算器算。
小技巧：双击协议树窗格里的某个字段，Wireshark 会自动在原始字节窗格里高亮对应的位置。比如你双击 TCP 的 Sequence Number，右边立马就能看到它在报文里的具体偏移。这个功能在分析自定义协议时特别好用。
1.3 首选项配置：调教出趁手的工具
Wireshark 默认配置其实够用，但有些设置不改，你会抓狂。我每次装完新版本，第一件事就是进 Edit → Preferences 改几个地方。
1.3.1 布局调整
在 Appearance → Layout 里，你可以调整三个窗格的排列方式。我个人喜欢「列表在上、协议树在左下、原始字节在右下」的经典布局。如果你屏幕够大，也可以试试「列表和协议树左右分栏」。
1.3.2 时间显示格式
在 Appearance → Columns 里，把默认的「Time (Seconds Since Epoch)」改成「Time (Seconds Since Beginning of Capture)」。相信我，这会让你分析 TCP 重传和延迟时省一半力气。
1.3.3 自动滚动与实时抓包
在 Capture → Capture 里，有个「Update list of packets in real time」选项。默认是勾选的。如果你在抓大流量，建议关掉它，否则界面会卡成幻灯片。我一般先抓完，保存文件，再离线分析。
| 配置项 | 推荐值 | 为什么改 |
|---|---|---|
| 时间显示格式 | 相对时间 | 快速计算包间隔 |
| 实时更新列表 | 关闭（大流量时） | 避免界面卡顿 |
| 自动滚动 | 关闭 | 防止列表跳来跳去 |
| Name Resolution | 仅启用 MAC 解析 | DNS 解析会引入延迟和误判 |
避坑指南：我曾经在抓包时开着「Enable network name resolution」，结果 Wireshark 每收到一个包就去反向解析 DNS。抓了 10 分钟，界面直接卡死。后来发现，光 DNS 查询就占了抓包流量的 30%。所以，除非你明确需要看主机名，否则关掉它。
1.4 捕获过滤器基础：抓之前就筛掉垃圾
很多人一上来就点「Start」，抓完几万包再慢慢用显示过滤器筛。这其实是个坏习惯。你想想看，抓包本身是有开销的——数据要从内核拷贝到用户态，Wireshark 还要解析每一帧。流量一大，你的机器就扛不住了。
捕获过滤器是在数据进入 Wireshark 之前就把它扔掉。它用的是 BPF（Berkeley Packet Filter）语法，效率极高。说白了，就是让内核帮你做第一道筛选。
1.4.1 常用捕获过滤器写法
# 只抓特定主机的流量（双向）
host 192.168.1.100
# 只抓特定端口的流量（TCP）
tcp port 80
# 只抓特定网段的流量
net 192.168.1.0/24
# 排除广播和多播
not broadcast and not multicast
# 组合条件：抓 HTTP 且排除某个 IP
tcp port 80 and not host 10.0.0.5你可能会问：「这些语法记不住怎么办？」。其实 Wireshark 的捕获过滤器对话框里有个「Expression」按钮，点开就能选。但我建议你还是记几个最常用的，因为排查问题时，手敲比点鼠标快得多。
1.4.2 捕获过滤器 vs 显示过滤器
| 对比维度 | 捕获过滤器 | 显示过滤器 |
|---|---|---|
| 作用时机 | 抓包时（数据进入前） | 抓包后（数据分析时） |
| 语法 | BPF（类 tcpdump） | Wireshark 专有语法 |
| 效率 | 极高（内核态过滤） | 中等（用户态过滤） |
| 能否恢复丢弃的数据 | 不能 | 能（数据还在文件中） |
| 典型用途 | 减少抓包文件大小 | 精准定位问题包 |
我的经验：在排查生产环境问题时，我通常先用捕获过滤器把范围缩小到「目标 IP + 目标端口」。比如 host 10.1.1.100 and tcp port 443。这样抓下来的文件通常只有几百 KB，分析起来非常快。等找到可疑包后，再用显示过滤器做更细粒度的筛选。
1.5 本章知识体系总览
下面这张图，帮你把这一章的核心逻辑串起来。从抓包原理到界面操作，再到配置和过滤器，每一步都是为后续章节的实战排查打基础。
看到这里，你应该已经明白了：Wireshark 不是一个「一键抓包」的黑盒子。它的每个功能都有明确的定位。抓包原理决定了你能抓到什么；界面布局决定了你分析效率的高低；首选项配置决定了工具是否顺手；捕获过滤器决定了你的磁盘和 CPU 能不能扛住。