网络协议抓包解码与故障定位 - 第3节
抓包基础：设置抓包过滤器（捕获过滤器）
很多新手一上来就点开 Wireshark 的「开始捕获」，然后看着满屏五颜六色的包发呆——太多了，根本看不过来。说实话，我第一次抓包也是这样，抓了十分钟就不知道从哪下手。
这章我们聊聊捕获过滤器。说白了，就是在数据还没进 Wireshark 之前，先把不相关的包扔掉。省内存，省时间，也省眼力。
为什么需要捕获过滤器？
想象一下，你在公司核心交换机旁抓包。每秒流量几百兆。要是不设过滤，Wireshark 会直接把几百 MB 的数据塞进内存。电脑风扇狂转，鼠标都拖不动。嗯，我踩过这个坑。
更麻烦的是，磁盘写速度跟不上。网卡收到包的速度远大于硬盘写入速度，结果就是丢包——抓下来的数据不完整，分析起来全是坑。
所以，捕获过滤器的价值就两条：
- 降低资源消耗：只保留你关心的协议或 IP，内存占用小，分析速度快。
- 减少干扰：过滤掉广播、多播、无关协议，目标数据一目了然。
BPF 语法——捕获过滤器的核心
Wireshark 捕获过滤器用的是 Berkeley Packet Filter (BPF) 语法。这玩意是 Unix 时代就有的老古董，但直到今天依然稳定高效。说实话，我第一次看到 BPF 表达式时也是一头雾水，但这东西其实就几个核心元素。
| 元素 | 示例 | 说明 |
|---|---|---|
| 协议 | arp、icmp、tcp、udp |
直接指定协议类型 |
| 方向 | src、dst、src or dst |
数据包的来源或目标 |
| 逻辑运算 | and、or、not |
组合多个条件 |
| 主机 | host 192.168.1.1 |
匹配指定 IP 地址 |
| 端口 | port 80、portrange 1-1024 |
匹配传输层端口 |
| 网络段 | net 10.0.0.0/8 |
匹配整个子网 |
组合起来，就是一行捕获过滤器。比如：
tcp and port 443 and host 172.16.1.100这表示只抓取源或目标是 172.16.1.100、端口为 443 的 TCP 数据包。说白了，就是 HTTPS 通信。
tcpdump -d 验证一下语法对不对。Wireshark 虽然也会报错，但报错信息对新手不太友好。
实战：常见捕获过滤场景
光说不练假把式。我挑几个我在项目中真正用过的场景，你拿去就能用。
场景 1：只抓某个 IP 的所有流量
host 10.10.1.50有时候排查机器问题，要看它到底在跟谁通信。这个最简单，也最实用。我记得有次一个应用连不上数据库，我就是用这行过滤抓到它在试图连接一个已被关闭的端口。
场景 2：抓取特定网段的 HTTP 流量
tcp and dst port 80 and net 192.168.1.0/24注意，这里只匹配了目标端口 80。如果服务器返回数据走的是临时端口（1024+），这行过滤就会漏掉响应包。所以我会同时加一个条件：
tcp and (dst port 80 or src port 80) and net 192.168.1.0/24你想想看，如果不加这个括号，逻辑顺序可能跑偏。
场景 3：排除广播和多播
not broadcast and not multicast在有线网络里，广播包特别多。尤其是 Windows 环境的 NetBIOS 广播，能把抓包记录撑爆。我一般在过滤框里加上这行，配合其他条件一起用。
场景 4：抓取 DHCP 交互包
port 67 or port 68DHCP 客户端和服务端分别用 67/68 端口通信。只要设这一行，就能抓到完整的 Discover、Offer、Request、Ack 流程。
捕获过滤器 vs 显示过滤器
很多人把这两者搞混。我做个表格，你一看就明白。
| 对比维度 | 捕获过滤器 | 显示过滤器 |
|---|---|---|
| 过滤时机 | 抓包时 | 抓包完成后 |
| 丢弃数据 | 是（直接丢弃不捕获） | 否（仅隐藏显示） |
| 语法 | BPF 表达式 | Wireshark 特有语法 |
| 性能影响 | 降低资源消耗 | 只影响显示，不减少数据量 |
| 典型用途 | 大流量环境、嵌入式设备、长时间抓包 | 详细分析、层层过滤、事后排查 |
曾经有个同事，在抓包时用了显示过滤器——他没设捕获过滤，结果抓了 5GB 数据后再用显示过滤慢慢筛选。性能差到崩溃。所以我的经验是：能用捕获过滤解决的问题，别等到显示过滤再处理。
捕获过滤器的常见坑
tcp[13] = 2 能用在捕获过滤器里，结果一直不生效。
另一个常见坑是分片问题。BPF 过滤器工作在网络层以下。如果你只抓 IP 分片的第一个包，后续分片可能因为不匹配条件而被丢弃。比如：
tcp and host 192.168.1.1IP 分片中，只有第一个分片包含完整的 TCP 头，后续分片没有端口信息。BPF 看到后续分片没有匹配的 TCP 端口，直接扔掉。这样做会导致 TCP 重组失败。解决办法？别用端口过滤，用 host 替代。
我的推荐工作流
讲了这么多，最后给你一个我在实际项目中的流程，你可以参考：
- 明确目标：你要排查什么问题？是 DNS 解析、TCP 握手失败，还是应用层协议异常？
- 选择协议+方向：比如是 DNS 请求还是响应，或者双向？
- 写捕获过滤表达式：组合协议、IP、端口，注意逻辑优先级。
- 在 Wireshark 输入框里验证：如果表达式变红，说明语法有误。
- 开始抓包：抓个一两分钟，确认数据没问题再继续。
- 抓完后用显示过滤器做精细筛选：比如只看某个 TCP 流或者特定时间点的包。
嗯，这样下来既不会浪费磁盘空间，也不会漏掉关键数据。
捕获过滤器知识体系图
总结一句话
捕获过滤器的核心就是 BPF 语法。记住三个东西：协议、方向、IP/端口。组合起来就能应对绝大多数场景。别贪多，先练熟几组常用表达式，再慢慢深入。