2. Wireshark 安装与界面：Windows/Mac/Linux 安装、主界面布局、首选项配置
好，咱们正式开始动手。这一章我带你搞定两件事：把 Wireshark 装好，以及把界面调顺手。
很多新手一上来就急着抓包，结果发现界面乱七八糟，过滤也不会写，抓了半天全是噪音。嗯，磨刀不误砍柴工，先把工具收拾利索了，后面排错才能快。
2.1 跨平台安装：Windows / macOS / Linux
Wireshark 的安装其实不复杂，但不同系统有几个坑。我这些年帮人远程排错，至少有一半的问题出在安装环节——要么没装 WinPcap/Npcap，要么权限没给够。
2.1.1 Windows 安装
- 下载：去官网
wireshark.org下载 64 位安装包。别去第三方站点，我见过捆绑流氓软件的。 - 安装 Npcap：安装过程中会提示安装 Npcap，一定要勾选。Npcap 是 Windows 下的抓包驱动，没有它 Wireshark 就是个空壳。
- 勾选「WinPcap API 兼容模式」：我个人习惯把这个也勾上，有些老工具还依赖 WinPcap 接口。
- 重启：装完建议重启一次，让驱动生效。
2.1.2 macOS 安装
macOS 用户相对省心。我建议直接用 Homebrew：
brew install --cask wireshark装完之后，系统会提示你安装 ChmodBPF 启动项。这个东西的作用是让普通用户也能抓包，不用每次都用 sudo。你想想看，每次抓包都要输密码，多烦人。
如果你不想用 Homebrew，也可以去官网下 .dmg 包，但记得手动装 ChmodBPF。
2.1.3 Linux 安装
Linux 下最简单，包管理器一把梭：
# Ubuntu / Debian
sudo apt update && sudo apt install wireshark
# CentOS / RHEL
sudo yum install wireshark
# Fedora
sudo dnf install wireshark安装过程中会问你是否允许非 root 用户抓包。我建议选「是」，否则每次都要 sudo，权限问题很烦。
sudo usermod -aG wireshark $USER2.2 主界面布局：别被密密麻麻的窗口吓到
第一次打开 Wireshark，很多人会懵——满屏的表格、按钮、颜色条。别慌，我带你拆解一下。说白了，整个界面就 5 个核心区域。
2.2.1 菜单栏 & 工具栏
最上面一排，跟大多数软件一样。常用的就几个：捕获（Capture）、统计（Statistics）、分析（Analyze）。工具栏里那个绿色的鲨鱼鳍按钮是开始抓包，红色方块是停止。
2.2.2 显示过滤栏
这是你以后最常打交道的地方。输入过滤表达式，按回车，数据包列表立刻刷新。比如你只想看 HTTP 流量，输入 http 回车就行。
2.2.3 数据包列表窗格
中间最大的表格，每一行就是一个数据包。默认显示编号、时间、源地址、目的地址、协议、长度、信息。你可以点列头排序，比如按协议排，把 HTTP 包集中到一起看。
2.2.4 协议树窗格 & 十六进制窗格
选中一个包后，下面两个窗格会联动显示。左边是协议树，把数据包一层层拆开给你看——以太网帧头、IP 头、TCP 头、应用层数据。右边是原始字节，十六进制 + ASCII 对照。
说实话，日常排错我基本只看协议树，十六进制窗格只有做协议逆向或者分析畸形报文时才用。
2.3 首选项配置：把工具调成你的形状
默认配置能用，但不好用。我每次装完新版本，第一件事就是改几个关键设置。下面这张表是我个人的「必改清单」。
| 配置项 | 路径 | 我的推荐值 | 为什么改 |
|---|---|---|---|
| 时间显示格式 | View → Time Display Format | Seconds Since Beginning of Capture | 默认是「年月日时分秒」，排错时看相对时间更方便。比如「第 3.5 秒出现异常」比「14:23:45.678 出现异常」更直观。 |
| 自动滚动 | Capture → Options → Auto Scroll | 关闭 | 抓实时流量时，自动滚动会让界面一直跳，你根本没法点选某个包。我习惯关了，手动滚动。 |
| 列配置 | 右键列头 → Column Preferences | 增加「Delta Time」列 | Delta Time 显示当前包与上一个包的时间差，排查延迟抖动时必备。 |
| 协议解析 | Analyze → Enabled Protocols | 只保留需要的协议 | 默认启用了上千种协议解析器，拖慢速度。我只留 TCP/UDP/HTTP/DNS/TLS 等常用协议。 |
| 着色规则 | View → Coloring Rules | 保留默认，微调 HTTP 为浅绿色 | 默认着色规则已经很好用，TCP 重传是红色，HTTP 是浅绿，一眼就能扫出问题。 |
2.3.1 保存配置文件
改完这些设置后，记得保存为配置文件。这样换电脑或者重装系统后，一键恢复。
Edit → Configuration Profiles → 新建一个叫「MyProfile」的配置
然后 Export 导出为 .zip 文件2.4 抓第一个包：验证安装
装好了，配置也调了，来抓个包验证一下。
- 点击工具栏的绿色鲨鱼鳍，或者双击某个网卡。
- 打开浏览器，随便访问一个网站，比如
www.baidu.com。 - 回到 Wireshark，点红色方块停止抓包。
- 在过滤栏输入
dns，回车。你应该能看到几条 DNS 查询和响应。 - 再输入
http，看看有没有 HTTP GET 请求。
如果能看到这些，恭喜你，安装成功了。如果看不到，检查一下：
- 是不是选了正确的网卡？（Wi-Fi 还是有线？）
- Npcap/ChmodBPF 装了吗？
- 是不是用了 VPN？VPN 会改变流量路径。
tls 或者 icmp（ping 一下百度）。