Wireshark 安装与界面：别急着抓包，先搭好环境

做网络分析，工具得先趁手。Wireshark 的安装其实没什么难度，但我见过不少同事在这上面栽跟头——装了个阉割版，抓包时发现少了关键协议解析器，那叫一个尴尬。

安装时的两个关键选择

Windows 下安装，一路 Next 就行。但有两点你得留心：

• 选择组件时，记得勾上 "USBPcap"——虽然咱们课程主要讲以太网抓包，但万一以后要分析 USB 网络设备，不用重装。
• 安装路径不要有中文——这玩意儿对 Unicode 路径支持不太好，我之前吃过亏，抓包文件死活打不开，最后发现是路径里带了个"网络"俩字。

Linux 下更简单：

# Ubuntu/Debian
sudo apt-get install wireshark

# CentOS/RHEL
sudo yum install wireshark

# 安装后记得把当前用户加入 wireshark 组
sudo usermod -aG wireshark $USER

嗯，这里要注意：加组之后要重新登录才能生效。别问我怎么知道的——当年我折腾了半小时，以为装坏了。

界面初识：别被密密麻麻的窗口吓到

第一次打开 Wireshark，你可能会觉得眼花。其实核心就三个区域：

区域	作用	我的习惯
数据包列表区	显示所有抓到的包，一行一个	默认只看序号、时间、源/目的 IP、协议、长度、Info
协议树区	点开某个包，这里展示各层协议字段	我习惯先看 Ethernet II，再看 IP，最后看 TCP
原始字节区	十六进制 + ASCII 原始数据	排查应用层问题时才切过来看

你想想看，这三个区域其实对应了三种分析视角：宏观的包列表、中观的协议细节、微观的原始数据。定位重传和丢包时，我们主要在前两个区活动。

捕获过滤器 vs 显示过滤器：别搞混了

这是新手最容易踩的坑。我直接说人话：

• 捕获过滤器：抓包之前设，只抓你关心的流量，不抓的直接丢弃。省硬盘、省CPU。
• 显示过滤器：抓完包之后设，从已抓到的包里筛选出你想看的。不改变原始数据。

常用捕获过滤器示例：

# 只抓 192.168.1.100 的流量
host 192.168.1.100

# 只抓 TCP 80 端口
tcp port 80

# 只抓子网内的流量
net 192.168.1.0/24

常用显示过滤器示例：

# 只看重传包
tcp.analysis.retransmission

# 只看丢包（快速重传前的重复ACK）
tcp.analysis.duplicate_ack

# 只看某个TCP流
tcp.stream eq 0

着色规则：一眼看出问题包

Wireshark 默认会给不同协议和异常包上色。比如：

• 浅紫色 → TCP 重传
• 浅红色 → 坏包/错误包
• 浅绿色 → HTTP 流量
• 浅蓝色 → DNS 流量

我个人习惯把重传和丢包的着色改得更醒目：

# 修改着色规则路径
视图 → 着色规则 → 找到 "TCP Retransmission"
把背景色改成深红色，前景色改成白色

为什么这么改？因为默认的浅紫色在包多的时候根本看不清。你想想看，几千个包里面找几个浅紫色的点，眼睛不瞎才怪。

统计工具：别手动数包了

Wireshark 的统计功能很强大，咱们这门课主要用这几个：

工具	路径	用途
IO Graph	统计 → IO Graph	看流量趋势，发现突降或突增
TCP Stream Graph	统计 → TCP Stream Graph	看时序图、吞吐图，定位重传模式
Expert Info	统计 → Expert Info	自动标注异常包，省得自己翻
Conversations	统计 → Conversations	看哪些IP对之间流量最大

我一般的工作流是这样的：先开 Expert Info 看有没有重传/丢包警告，然后用 IO Graph 看整体流量是否平稳，最后用 TCP Stream Graph 定位到具体流。

本章知识体系

下面这张图帮你理清 Wireshark 基础操作的脉络：

说白了，Wireshark 就是个放大镜。安装是拿到放大镜，界面是知道怎么握，过滤器是决定看哪里，着色和统计是帮你快速找到异常点。后面几章咱们就拿着这个放大镜，专门盯着重传和丢包看。