抓包基础：网络接口选择、抓包过滤器配置与实战
说实话，很多人装好 Wireshark 后第一反应就是直接点「开始捕获」。结果呢？满屏乱七八糟的数据包，根本不知道看哪里。我刚开始学的时候也犯过这个错——抓了十分钟，发现全是自己电脑的广播包，真正想看的流量一个都没抓到。
这一章，我们就来解决两个最基础也最关键的问题：选对网口和设对过滤器。这两步做好了，后面的分析才能事半功倍。
2.1 网络接口选择——你抓的是哪张网卡？
Wireshark 启动后，第一个界面就是「捕获接口」列表。你可能会看到好几个接口：以太网、Wi-Fi、蓝牙、虚拟网卡……到底选哪个？
我个人的习惯是：先看 IP 地址。哪个接口的 IP 是你正在用的，就选哪个。比如你通过 Wi-Fi 上网，那就选 Wi-Fi 接口；你插了网线，就选以太网接口。
但有个坑要注意：虚拟网卡。如果你装了 VMware、VirtualBox、Docker 之类的虚拟化软件，列表里会多出好几个虚拟接口。这些接口抓到的流量通常是虚拟机之间的通信，不是你本机的真实流量。我曾经有一次排查了半天，发现抓的全是虚拟机内部流量，白费功夫。
| 接口类型 | 典型名称 | 适用场景 | 注意事项 |
|---|---|---|---|
| 物理以太网 | Ethernet / 以太网 | 有线网络抓包 | 最稳定，推荐优先使用 |
| 无线网卡 | Wi-Fi / Wireless | 无线网络抓包 | 可能丢包，混杂模式受限 |
| 虚拟网卡 | VMware / VirtualBox / Docker | 虚拟机流量分析 | 别选错，否则抓不到真实流量 |
| 环回接口 | Loopback / lo | 本机进程间通信 | Windows 默认不支持，需装 Npcap |
2.2 抓包过滤器（Capture Filter）——只抓你想要的
选好接口后，下一步就是设置抓包过滤器。它的作用是在数据包进入 Wireshark 之前就进行筛选——符合条件的才抓，不符合的直接丢弃。这样做的好处是：减少磁盘占用、降低 CPU 负载、让抓包文件更小。
你想想看，如果在一个繁忙的网络上抓包，每秒可能有几千甚至上万个数据包。如果不加过滤，抓一分钟文件就好几百兆，分析起来非常痛苦。
2.2.1 过滤器语法基础
抓包过滤器用的是 BPF（Berkeley Packet Filter） 语法。别被这个名字吓到，其实核心规则很简单：
# 基本格式
[协议] [方向] [类型] [值]
# 示例
host 192.168.1.1 # 只抓与这个 IP 通信的包
port 80 # 只抓 80 端口的包
tcp # 只抓 TCP 协议
udp port 53 # 只抓 DNS 查询（UDP 53 端口）
not arp # 排除 ARP 协议
这些规则可以用逻辑运算符组合：and、or、not。比如：
host 192.168.1.1 and tcp port 443
# 只抓与 192.168.1.1 通信的 HTTPS 流量
(host 192.168.1.1 or host 192.168.1.2) and not dns
# 抓这两个 IP 的流量，但排除 DNS 查询
核心原则： 抓包过滤器是在内核层面工作的，效率极高。能用抓包过滤器解决的问题，就不要等到显示过滤器再处理。我个人的经验是：先想清楚「我要分析什么」，然后写一个尽可能精确的抓包过滤器。
2.2.2 常用抓包过滤器速查表
| 场景 | 过滤器表达式 | 说明 |
|---|---|---|
| 抓特定 IP | host 10.0.0.5 |
双向流量 |
| 抓源 IP | src host 10.0.0.5 |
只抓从这个 IP 发出的包 |
| 抓目标 IP | dst host 10.0.0.5 |
只抓发往这个 IP 的包 |
| 抓特定端口 | port 8080 |
双向端口过滤 |
| 抓 HTTP 流量 | tcp port 80 |
HTTP 默认端口 |
| 抓 HTTPS 流量 | tcp port 443 |
HTTPS 默认端口 |
| 抓 DNS 查询 | udp port 53 |
DNS 使用 UDP 53 端口 |
| 抓 DHCP | udp port 67 or udp port 68 |
DHCP 使用 67/68 端口 |
| 排除广播包 | not broadcast |
减少干扰 |
| 抓 ICMP | icmp |
Ping 和 traceroute 使用 |
| 抓 VLAN 标签 | vlan 100 |
只抓 VLAN 100 的流量 |
| 抓 MAC 地址 | ether host aa:bb:cc:dd:ee:ff |
基于 MAC 过滤 |
2.2.3 实战：配置抓包过滤器
操作步骤很简单：
- 点击 Wireshark 主界面的「捕获」→「选项」（或 Ctrl+K）
- 在接口列表中选择你要用的网卡
- 在「捕获过滤器」输入框中输入你的 BPF 表达式
- 点击「开始」按钮
举个例子。假设你要排查一个 Web 服务器（IP 192.168.1.100）的 80 端口响应慢的问题。你的过滤器可以这样写：
host 192.168.1.100 and tcp port 80
这样抓到的包就只包含这台服务器的 HTTP 流量，干净利落。
host 192.168.1.100 and (tcp port 80 or udp port 53)。
2.3 知识体系总览
下面这张图把本章的核心知识点串起来了。你可以把它当作一个快速参考：
2.4 避坑指南与经验总结
最后，分享几个我这些年踩过的坑：
- 过滤器写错了不会报错。 Wireshark 不会告诉你「你的 BPF 语法有误」，它只会默默抓不到任何包。如果你开始抓包后一个包都没有，先检查过滤器表达式。
- 混杂模式不是万能的。 在无线网络上，即使开启了混杂模式，也可能抓不到其他设备的流量。这是因为无线网卡的驱动和硬件限制。别问我怎么知道的——我曾经在咖啡厅想抓隔壁桌的 HTTP 请求，结果啥也没抓到。
- 抓包文件太大？ 用
not broadcast and not multicast排除广播和多播包，能减少 30%-50% 的流量。再加上精确的端口过滤，文件大小能控制在合理范围内。 - 保存过滤器。 常用的过滤器表达式可以保存下来。在捕获过滤器输入框旁边有个「保存」按钮，点一下就能给过滤器起个名字，下次直接选。
嗯，这一章的内容就到这里。接口选择和抓包过滤器是 Wireshark 的基本功，练好了后面分析协议才能得心应手。记住：好的开始是成功的一半，好的过滤器是高效分析的前提。