抓包基础：选对接口、开混杂、写过滤器
说实话，我见过太多人打开 Wireshark 就点「开始」，抓了一堆数据包却什么也分析不出来。为什么？因为第一步就错了——接口选错了，混杂模式没开，过滤器也不会写。这就像你拿着听诊器却不知道往哪儿放，能听到心跳才怪。
这一章，咱们就把这三个基础打牢。别小看它们，我干了十几年网络排障，90% 的抓包问题都出在这三个环节上。
选择正确的网络接口
打开 Wireshark，你会看到一长串接口列表。Wi-Fi、以太网、蓝牙、虚拟网卡……选哪个？
基本原则很简单： 你的流量走哪张网卡，就选哪个接口。
- 用 Wi-Fi 上网 → 选 Wi-Fi / en0
- 插网线上网 → 选 以太网 / eth0
- 抓本地回环流量 → 选 Loopback / lo0
我记得有一次帮客户排查 VPN 连接问题。他抓了半天包，全是 ARP 广播，根本看不到 VPN 流量。我过去一看——他选的是以太网接口，但 VPN 流量走的是虚拟网卡。换了个接口，问题立刻现形。
混杂模式详解
默认情况下，网卡只接收发给自己的数据包。混杂模式（Promiscuous Mode）就是告诉网卡：「别挑食，所有经过的包都收上来。」
在 Wireshark 里，启用混杂模式很简单：
- 点击 Capture → Options
- 选中你的接口
- 勾选 Enable promiscuous mode on all interfaces
重要区别：
- 混杂模式：收所有经过网卡的包（包括不是发给你的）
- 监控模式：收所有无线信道上的包（仅限 Wi-Fi，需要硬件支持）
很多人把这两个搞混。监控模式是无线专用的，普通有线网卡不支持。
你想想看，如果不开混杂模式，你在交换机上做端口镜像抓包，镜像过来的流量根本不会被网卡接收。我曾经被这个问题坑过一次——抓了半小时，一个包都没有，还以为交换机配置错了。结果就是忘了开混杂模式。
抓包过滤器（BPF 语法）实战
不写过滤器就抓包，等于用消防水管喝水——数据量太大，根本处理不过来。Wireshark 使用 Berkeley Packet Filter (BPF) 语法，在抓包阶段就过滤掉不关心的流量。
BPF 的核心逻辑是：「类型 + 方向 + 条件」
| 类型 | 关键字 | 示例 |
|---|---|---|
| 主机 | host |
host 192.168.1.1 |
| 端口 | port |
port 80 |
| 协议 | arp, icmp, tcp |
icmp |
| 网络 | net |
net 10.0.0.0/8 |
| 方向 | src, dst |
src host 192.168.1.1 |
常用组合示例：
# 只抓 HTTP 流量
tcp port 80
# 抓与特定服务器的所有通信
host 203.0.113.5
# 抓 DNS 请求和响应
udp port 53
# 排除 SSH 流量（防止自己被踢下线）
not port 22
# 抓广播和组播
broadcast or multicast
# 复杂组合：抓来自 192.168.1.x 的 HTTP 或 HTTPS
src net 192.168.1.0/24 and (tcp port 80 or tcp port 443)我的实战经验： 调试 Web 应用时，我习惯先写 tcp port 80 or tcp port 443。如果发现请求没发出去，再缩小到 host 目标IP and tcp port 80。一层层缩小范围，比一次写对要快得多。
BPF 支持 逻辑运算符：and（&&）、or（||）、not（!）。优先级和编程语言一样，not 最高，and 次之，or 最低。拿不准的时候，加括号准没错。
保存与导出抓包文件
抓完包，你得保存下来。Wireshark 默认格式是 .pcapng（新格式），兼容性最好。老设备可能只支持 .pcap。
保存方式：
- File → Save：保存所有抓到的包
- File → Export Specified Packets：只导出选中的或过滤后的包
导出时你可以选择：
| 选项 | 说明 | 适用场景 |
|---|---|---|
| All packets | 导出所有包 | 完整保存 |
| Selected packets only | 只导出你手动选中的包 | 提取关键证据 |
| Displayed packets | 导出当前显示过滤器筛选后的包 | 分享分析结果 |
| Range | 按包序号范围导出 | 分段处理大文件 |
我的习惯： 抓包时我会设置 自动保存（Capture → Options → Output）。每 100MB 或每 10 分钟自动生成一个新文件。这样即使抓到大流量，也不会因为单个文件太大而崩溃。有一次抓了 2 小时的流量，自动分成了 12 个文件，分析起来轻松多了。
导出时还可以选择 去除 MAC 地址、去除实际 IP 等匿名化选项。分享给第三方时，记得用这个功能保护隐私。
嗯，到这里，抓包的基础三板斧你就掌握了。选对接口、开混杂模式、写好 BPF 过滤器，这三步做好了，后面的分析工作才能顺利进行。别急着往下翻，先打开 Wireshark 练一练，抓几个包试试手。实践出真知，这话在抓包这件事上，一点不假。