2. Wireshark 环境准备：工欲善其事，必先利其器

做高并发连接分析，Wireshark 就是你的手术刀。选错版本、配错过滤器、没调性能，抓包还没开始就已经输了。这一章我带你把这把刀磨快。

Wireshark 的版本号看着挺多，但真正值得关注的只有两条线：稳定版和开发版。我个人习惯，生产环境一律用稳定版。开发版虽然新功能多，但 bug 也多。你想想看，线上高并发环境抓包，抓到一半崩溃了，那得多尴尬。

版本类型	版本号示例	适用场景	我的建议
稳定版	4.2.x、4.0.x	生产环境、日常分析	首选，我线上分析都用这个
开发版	4.3.x-rc、4.1.x	尝鲜、测试新协议解析	虚拟机里玩玩可以，别上生产
旧版	3.6.x、3.4.x	老旧系统兼容	除非有特殊依赖，否则升级吧

小提示：下载时认准官方渠道 wireshark.org。第三方打包的版本可能夹带私货，我见过有人装了个带广告插件的版本，抓包界面弹窗，那叫一个酸爽。

安装过程其实很简单，但有几个坑我得提醒你。Windows 下安装时，会提示安装 Npcap（或 WinPcap）。这里一定要选 Npcap，而且勾上「WinPcap API 兼容模式」。为什么？因为很多老工具只认 WinPcap 的接口，不勾的话它们就罢工了。

Linux 下更简单，一条命令搞定：

# Ubuntu/Debian
sudo apt install wireshark

# CentOS/RHEL
sudo yum install wireshark

安装完后记得把当前用户加到 wireshark 组，不然每次都要 sudo，很烦。

sudo usermod -aG wireshark $USER
# 然后退出重新登录

注意：macOS 用户别用 Homebrew 的默认源，那个版本经常滞后。我建议直接去官网下载 .dmg 安装包，或者用 brew install --cask wireshark。

捕获过滤器是在数据包进入 Wireshark 内存之前就丢弃的。说白了，它帮你省内存、省 CPU。高并发环境下，每秒几万个包，如果不加过滤，你的机器直接卡死。

语法用的是 BPF（Berkeley Packet Filter），核心就几个关键词：

我常用的几个捕获过滤器，直接给你：

  避坑指南：我曾经在分析一个高并发连接池问题时，忘了加捕获过滤器，结果笔记本直接蓝屏。后来学乖了，抓包前先想清楚：我到底要看什么？然后写一个精准的捕获过滤器。

显示过滤器跟捕获过滤器不同，它是在数据包已经抓下来之后，在界面上做筛选。你可以随时改、随时调，非常灵活。语法也更丰富，支持协议字段级过滤。

几个高频使用的显示过滤器：

显示过滤器支持自动补全，你输入 tcp. 之后按 Tab，所有字段都会列出来。这个功能我天天用，效率提升不少。

小技巧：右键点击某个数据包，选择「作为过滤器应用」→「选中」，Wireshark 会自动帮你生成显示过滤器表达式。对于新手来说，这是最快的学习方式。

高并发场景下，Wireshark 默认配置根本扛不住。你需要手动调优，让它跑在「性能模式」下。我一般改这几个地方：

关闭名称解析：Edit → Preferences → Name Resolution，取消勾选所有解析选项。DNS 解析在高并发下会拖死你。
增大缓冲区：Capture → Options → Buffer size，默认 1MB 改成 256MB 甚至 512MB。这样即使瞬间流量暴增，也不会丢包。
限制抓包长度：Capture → Options → Limit each packet to，设为 128 或 256 字节。你想想看，分析 TCP 连接状态根本不需要看完整 payload，头部信息就够了。
关闭实时更新：抓包时取消勾选「Update list of packets in real time」。实时渲染很吃 CPU，等抓完再慢慢看。
使用多线程：Edit → Preferences → Advanced → gui.thread_count，设为 CPU 核心数。Wireshark 4.0 之后支持多线程解析，别浪费这个功能。

重要：改完首选项后记得重启 Wireshark，有些设置不会立即生效。我吃过这个亏，调了缓冲区大小没重启，结果抓大流量时还是丢包。

下面这张图帮你理清本章的核心逻辑：从版本选择到安装，再到两种过滤器和性能调优，环环相扣。