第2章：环境搭建：安装Wireshark与配置抓包接口
先说句实话，工欲善其事，必先利其器。搞网络分析，Wireshark就是你的那把“器”。
我见过太多新手，装完软件就开抓，结果抓了一堆没用的包，或者压根抓不到。为什么？环境没搭对。
这一章，咱们就把基础打牢。从下载安装到接口配置，每一步我都把踩过的坑告诉你。
2.1 Wireshark的下载与安装
Wireshark支持Windows、macOS、Linux。我主要用Windows和Linux，macOS用的少，但逻辑一样。
下载地址别搞错。直接去官网：wireshark.org。别去第三方站点下，捆绑插件一堆。
安装时有个关键选项——WinPcap还是Npcap？
注意：Wireshark 3.x以上版本，推荐直接选Npcap。WinPcap已经停止维护了。Npcap支持更多新特性，比如Win10/11的抓包。
安装过程没什么难的，一路Next就行。但有两点我提醒一下：
- 选择组件时，全选。别自作聪明去精简。
- 安装Npcap时，勾上“Install in WinPcap API-compatible Mode”。这样旧版工具也能兼容。
我曾经在一次培训课上出了洋相：装完Wireshark，发现抓不了包。折腾半天，发现是Npcap没装。嗯，这步千万别跳。
2.2 抓包接口的选择与配置
装好之后打开Wireshark，你会看到一堆接口。Wi-Fi、以太网、蓝牙、虚拟网卡……该选哪个？
说白了，选那个流量真正经过的接口。
- 有线网络：选“以太网”或“本地连接”。
- 无线网络：选“Wi-Fi”或“无线网络连接”。
- 环回接口（Loopback）：选“Adapter for loopback traffic capture”。
但有时候，接口名字很长或者有多个，怎么区分？我的办法是：
- 看接口的IPv4地址。Wireshark主界面会显示每个接口的IP。
- 打开命令行，执行
ipconfig（Windows）或ifconfig（Linux），对照着看。
有个小技巧：双击接口就开始抓包。但别急着抓，先检查一下接口状态。
我的经验：先在Wireshark主界面看接口旁边的波形图。如果波形有起伏，说明有流量。如果是平的，要么接口选错了，要么网络不通。
2.3 高级配置：捕获过滤器的预设置
我不想每次抓包都输入过滤条件。所以，我会在抓包前就设好捕获过滤器。
捕获过滤器用的是BPF（Berkeley Packet Filter）语法。和显示过滤器不一样——它是直接在内核层面过滤，数据包根本没到Wireshark软件里。
怎么配？抓包之前，点击Wireshark主界面的“捕获”->“选项”。在接口右侧的“捕获过滤器”栏里写表达式。
| 场景 | BPF语法 | 说明 |
|---|---|---|
| 只抓HTTP流量 | tcp port 80 |
最常用 |
| 只抓特定主机的包 | host 192.168.1.1 |
目标或源 |
| 只抓UDP流量 | udp |
忽略TCP |
| 排除ARP广播 | not arp |
减少噪音 |
| 抓DNS查询 | udp port 53 |
域名相关 |
注意：捕获过滤器一旦写错，可能一个包都抓不到。我建议先在命令行里用tcpdump测试一下表达式对不对。
2.4 权限问题：为什么“No interfaces found”？
我遇到过很多次。明明装了Wireshark，打开却提示“No interfaces found”或“You don't have permission”。
原因就两个：
- WinPcap/Npcap没装好。卸载重装，勾上兼容模式。
- 权限不足。在Linux上必须用root用户或加入wireshark组。
Linux下解决：
sudo usermod -a -G wireshark $USER
# 重启登录生效Windows下，直接右键Wireshark，选择“以管理员身份运行”。
我曾经在服务器上抓包，忘了sudo，折腾了10分钟……然后才反应过来。所以建议你养成习惯：抓包之前先确认权限。
2.5 整体环境搭建知识梳理
为了让你看得更清楚，我画了一张图。把这章的关键节点串在一起。
2.6 几个实用小技巧
最后，我分享几个个人习惯。
- 别用管理员跑Wireshark日常分析。只在需要抓包时提权。安全第一。
- 给接口改个名。在Windows上可以用“网络和共享中心”把接口重命名为“办公网络”或“抓包专线”。Wireshark里显示更清楚。
- 保存默认捕获设置。在Wireshark的“编辑”->“首选项”->“Capture”里，可以设默认值。省事。
一个避坑提示：抓无线网卡时，如果抓不到802.11管理帧，检查一下Wireshark是否开启了“Monitor mode”。在Windows上，Npcap默认不支持全Monitor模式，需要额外配置。
好了，环境搭好，万事俱备。可以开抓了。