3. Wireshark 安装与界面：Windows / Linux / macOS 安装，主界面布局与首选项设置

搞网络分析，第一件事就是把手里的工具装好。Wireshark 的安装不像装个 QQ 那么简单，它底层依赖 libpcap（或者 Windows 下的 Npcap），抓包权限、驱动版本、内核接口都得对上。我这些年换过三台笔记本，Windows、Ubuntu、macOS 都装过 Wireshark，翻过不少坑。今天把我踩过的雷和总结的技巧一次性说清楚。

3.1 各平台安装实战

3.1.1 Windows 安装

Windows 下最稳的方式是去官网下载安装包，别去第三方下载站。安装时有个关键步骤：Npcap 安装选项。

1. 双击安装包，一路 Next。
2. 在 Choose Components 页面，保持默认全选 Wireless Network Monitor（抓无线包用，虽然现在很多网卡不支持混杂模式）。
3. 到了 Install Npcap 页面，勾选 Install Npcap in WinPcap API-compatible Mode —— 这能让老工具也能用新驱动。
4. 关键选项：勾选 “Support raw 802.11 traffic (and monitor mode)” 如果你需要抓 Wi-Fi 监控模式包。
5. 安装完成重启电脑。记得重启！否则驱动没生效。

Windows 上还有一个坑：杀毒软件拦截 Npcap 驱动。我之前用 Norton，装完后抓包一直显示 “No interfaces found”，关了实时防护再重装驱动就好了。

3.1.2 Linux 安装

Linux 下我推荐用包管理器，版本稳定。不过 Ubuntu 默认仓库的 Wireshark 可能不是最新，但功能够用。

• Debian / Ubuntu：sudo apt install wireshark
• CentOS / RHEL：先启用 EPEL，再 sudo yum install wireshark
• Arch Linux：sudo pacman -S wireshark-qt

装完后要解决权限问题。Linux 默认不允许普通用户抓包，否则提示 “Couldn't run /usr/bin/dumpcap in child process”。

# 加入 wireshark 用户组，然后重新登录
sudo usermod -a -G wireshark $USER
# 如果不行，再设置 dumpcap 的 setuid
sudo chmod 4755 /usr/bin/dumpcap

我个人习惯用 wireshark-gtk 版本（轻量），但现在大多数发行版都默认走 Qt 界面了。

3.1.3 macOS 安装

macOS 我用的不多，但给同事救过几次场。推荐用 Homebrew 安装，干净快速。

# 安装 Xcode Command Line Tools（brew依赖）
xcode-select --install
# 安装 Homebrew（如果未装）
/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
# 安装 Wireshark
brew install --cask wireshark

macOS 需要安装 ChmodBPF 或者安装 Wireshark 自带的后台工具（安装包会提示）。如果不装，抓包会报错 “You don't have permission to capture on that device”。

另外 macOS 从 Catalina 开始，每次启动 Wireshark 都会弹窗请求 “允许网络权限”，点 “允许” 或者去安全性与隐私里手动放行就好。

3.2 主界面布局

装好了，打开 Wireshark。你第一眼看到的界面长这样（我描述，你对照看）：

从上到下分三个主面板（你可以在菜单栏 View → Packet List / Packet Details / Packet Bytes 切换显示）：

1. 包列表（Packet List）：每一行是一个捕获到的数据包。默认显示 No.（序号）、Time（相对时间）、Source、Destination、Protocol、Length、Info。颜色标记协议类型（绿色是 TCP、蓝色是 DNS、红色是 HTTP 错误等）。
2. 包详情（Packet Details）：选中一个包，这里按 OSI 分层展开——先是物理层 Frame，然后是 Ethernet II，接着 IP，TCP/UDP，最后是应用层数据。每一层都可以展开看字段。
3. 包字节（Packet Bytes）：原始十六进制字节流。左侧是偏移量，中间是十六进制内容，右侧是 ASCII 字符。我经常用这个区查看无法被解析的私有协议。

顶部还有一个过滤栏（Filter Bar），背景是浅绿色或白色，输入表达式按回车就能实时过滤。

3.3 首选项设置（必调项）

默认配置能干活，但要想用得顺手，必须调几个设置。我在每个新环境都会做一遍这套操作：

3.3.1 核心首选项（Edit → Preferences）

配置项	推荐值	为什么调
User Interface → Layout	选择「3-pane 垂直」或「2-pane 横向」	默认布局适合宽屏，但笔记本窄屏下建议改成上下三块（包列表占上半，详情和字节各占下半）
Appearance → Layout → Column	添加 Delta time、Source port、Dest port	默认列不够用，我习惯加 Delta 看包间隔，加端口号快速区分会话
Protocols → TCP → “Allow subdissector to reassemble TCP”	勾选	否则 HTTP、SQL 等应用层数据会被切碎，看不到完整请求
Protocols → IPv4 → “Use IPv4 checksum validation”	取消勾选（如果你的网卡支持校验和卸载）	现代网卡硬件计算校验和，软件看到的校验和是错的，取消验证可避免误报。我踩过这个坑：当初调了三天校验和问题，发现是硬件 offload 惹的祸。
Capture → “Update list of packets in real-time”	勾选（实时刷新）	否则抓包时要手动刷新才看到新包。但无线环境包量大会卡，可以关掉。

3.3.2 显示过滤与着色规则

Wireshark 的着色规则能让你一眼看出异常。我常用的一套：

• TCP SYN 包：红底黑字
• TCP RST：橙底白字
• DNS 请求/响应：蓝底白字
• HTTP 200：绿底黑字
• HTTP 404/500：红底黄字

设置方法：View → Coloring Rules → 新增，表达式写 tcp.flags.syn==1 等。

3.4 捕获选项与配置文件

开始抓包前记得检查 Capture → Options 或直接点工具栏齿轮图标：

1. 选择正确的网卡（别抓到 loopback 上去了，除非你想看本地进程通信）
2. 勾选 Enable promiscuous mode（混杂模式），才能抓到非本机 MAC 的包。（注意：在交换网络下混杂模式只能看到广播和自己的包，要靠端口镜像/分光器才能全量抓）
3. 设置 Capture filter（不是 display filter！）：比如只抓 UDP 端口 53 的包：udp port 53。这能大幅降低抓包文件大小。
4. 设置 Ring buffer：文件大小上限+文件数量，防止磁盘写满。我遇到过跑了一晚上抓包占满 C 盘导致系统崩溃的惨案，从那以后必开 ring buffer。

3.5 常用快捷键与效率技巧

快捷键	功能
Ctrl+E	开始/停止捕获
Ctrl+F	显示过滤器（在包列表中搜索）
Ctrl+G	跳转到指定包序号
Shift+Ctrl+R	重新加载捕获文件（清空并重新读入）
Mid Mouse Click（中键）	在包详情区快速切换协议层展开/折叠

说实话，快捷键比鼠标点来点去快多了。我现在抓包全程键盘，几乎不用鼠标点过滤栏——直接在过滤栏敲 tcp.port==443 && ip.src==192.168.1.1 回车就行了。